Les noms, intitulés de poste, lieux de travail et numéros de téléphone de plus de 41 000 employés et sous-traitants du Département de la Sécurité intérieure américain ont été publiés en ligne mercredi par une organisation de transparence, qui affirme que les données lui ont été transmises par un groupe de pirates motivé par des considérations politiques.

L'organisation, Distributed Denial of Secrets, publie des documents fuités et a déjà publié de vastes ensembles de données liées aux forces de l'ordre américaines, notamment des dossiers de police en 2020. Elle a mis à disposition les données du DHS sous le nom d'Icepick le 28 octobre et affirme que les pirates, qui se font appeler le Département de la Paix, ont obtenu les données d'un service d'authentification unique Okta utilisé par le DHS — un système de connexion qui permet aux employés d'accéder à de nombreux outils internes avec un seul compte, et qui stocke généralement un profil pour chaque employé qu'il gère. Les hacktivistes sont des hackers motivés par la politique plutôt que par le profit.

Okta, la société à l'origine du service d'authentification, conteste cette affirmation. « Okta est sécurisé, et nous n'avons aucune preuve que nos données ou nos systèmes ont été compromis », a déclaré la société à Reuters. Le logiciel d'authentification de cette société basée à San Francisco est utilisé pour les connexions des employés dans des milliers d'organisations à travers le monde.

Le Département de la Paix affirme avoir agi après que le secrétaire à la Sécurité intérieure, Markwayne Mullin, a promis un renforcement des opérations d'Immigration and Customs Enforcement, connue sous le nom d'ICE. « Le 17 juillet, Markwayne Mullin a dit qu'il 'montait la pression'. Voilà ce qui arrive à ICE quand on fait ça », a déclaré un porte-parole du groupe. « Ils ont nos informations, alors il est juste que nous ayons les leurs », ont écrit les pirates.

L'archive consultable répertorie 41 191 personnes, dont 21 329 issues de Customs and Border Protection et environ 10 000 d'ICE — un tiers d'entre elles dans sa branche d'enquête, Homeland Security Investigations. Elle recense également plus de 55 000 groupes d'autorisations internes, des étiquettes qui déterminent qui peut accéder à quels systèmes, ainsi que le nom, le titre, le bureau, l'adresse e-mail, le numéro de téléphone et le responsable de chaque personne. La cofondatrice de DDoSecrets, Emma Best, a indiqué que les données ne contiennent aucune adresse de domicile.

Le DHS supervise la protection des frontières, le contrôle de l'immigration et la cybersécurité — y compris la Cybersecurity and Infrastructure Security Agency, le bras de cyberdéfense du gouvernement fédéral — de sorte que ce fichier fonctionne comme un annuaire indiquant qui fait quoi, qui rend des comptes à qui et comment les contacter. Les organisations de transparence estiment que ces coordonnées sont utiles pour les demandes d'accès aux documents publics. Les chercheurs en sécurité mettent toutefois en garde : la même liste pourrait aider quiconque chercherait à se faire passer pour un supérieur au téléphone ou à identifier qui se cache derrière une enquête sensible.

« Le DHS est informé d'une possible violation de données et travaille activement à résoudre la situation rapidement et efficacement », a déclaré un porte-parole du département. Le DHS a également déposé une demande de retrait via la société de sécurité ZeroFox, demandant au registrar de domaine de cesser de servir des données de contact et de localisation de personnes qui n'avaient pas consenti à leur publication. Alors que les pirates et Okta présentent des versions divergentes, la manière dont les données ont été obtenues reste la principale question ouverte — une question que les conclusions de la réponse du département ou de nouvelles preuves des entreprises pourraient trancher.

Le site de recherche construit sur ces données a cessé de fonctionner jeudi, son domaine affichant un blocage du registrar, et Bluesky bloque les liens vers l'organisation hébergeant l'archive. Un échantillon d'employés nommément désignés a été recoupé avec d'autres dossiers, mais l'ensemble de l'archive n'a pas été vérifié.

Cette publication fait suite à un épisode similaire en septembre, lorsque le groupe de cybercriminalité ShinyHunters a affirmé détenir 2 à 3 téraoctets de données sur des agents du FBI et des candidats à l'embauche, poussant le bureau à demander à son personnel de partir du principe que les pirates possèdent leurs données personnelles — ce qui en fait le deuxième épisode en deux mois où des pirates ont revendiqué ou publié des données personnelles liées à des employés fédéraux américains.

Les données les plus récentes de l'archive Icepick datent du 19 août, et certaines entrées — y compris des employés de la CISA qui ont depuis quitté l'agence — sont déjà obsolètes, ce qui signifie que certains listings peuvent ne plus refléter qui occupe actuellement un poste donné ou un numéro de téléphone donné.