Nomi, mansioni, sedi di lavoro e numeri di telefono di oltre 41.000 dipendenti e collaboratori del Dipartimento della Sicurezza Interna statunitense sono stati pubblicati online mercoledì da un'organizzazione no profit per la trasparenza, secondo cui i record sono stati consegnati da un gruppo di hacker con motivazioni politiche.

L'organizzazione no profit, Distributed Denial of Secrets, pubblica documenti trapelati e ha in precedenza diffuso grandi dataset sulle forze dell'ordine statunitensi, inclusi record di polizia nel 2020. Ha rilasciato il materiale del DHS con il nome Icepick il 28 ottobre e riferisce che gli hacker, che si fanno chiamare Department of Peace, hanno prelevato i record da un servizio di single sign-on Okta utilizzato dal DHS — un sistema di accesso che consente ai dipendenti di raggiungere molti strumenti interni con un unico account, e che in genere memorizza un profilo per ogni lavoratore che gestisce. Gli hacktivist sono hacker mossi dalla politica piuttosto che dal profitto.

Okta, l'azienda dietro il servizio di accesso, contesta l'affermazione. «Okta è sicura e non abbiamo evidenze che i nostri dati o sistemi siano stati compromessi», ha dichiarato la società a Reuters. Il software di accesso dell'azienda con sede a San Francisco supporta gli accessi dei dipendenti in migliaia di organizzazioni nel mondo.

Il Department of Peace afferma di aver agito dopo che il segretario alla Sicurezza Interna Markwayne Mullin ha promesso un'intensificazione delle operazioni dell'Immigration and Customs Enforcement, nota come ICE. «Il 17 luglio Markwayne Mullin ha detto che stava 'alzando la temperatura'. Questo è ciò che accade a ICE quando lo fai», ha detto un portavoce del gruppo. «Hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro», hanno scritto gli hacker.

L'archivio consultabile indicizza 41.191 persone, di cui 21.329 del Customs and Border Protection e circa 10.000 di ICE — un terzo dei quali nel suo braccio investigativo, Homeland Security Investigations. Elenca inoltre oltre 55.000 gruppi di permessi interni, etichette che controllano chi può accedere a quali sistemi, insieme a nome, mansione, ufficio, email, numero di telefono e responsabile di ciascuna persona. La cofondatrice di DDoSecrets Emma Best ha detto che il dataset non contiene indirizzi di casa.

Il DHS sovrintende alla protezione delle frontiere, all'applicazione delle norme sull'immigrazione e alla sicurezza informatica — inclusa la Cybersecurity and Infrastructure Security Agency, il braccio di difesa informatica del governo federale — quindi il file funziona come una directory di chi fa cosa, chi riporta a chi e come contattarli. I gruppi per la trasparenza dicono che i dati di contatto sono utili per le richieste di accesso agli atti pubblici. I ricercatori di sicurezza, tuttavia, avvertono che la stessa lista potrebbe aiutare chiunque voglia spacciarsi per un superiore al telefono o capire chi si nasconde dietro un'indagine delicata.

«Il DHS è a conoscenza di una possibile violazione e sta lavorando attivamente per affrontare la situazione in modo rapido ed efficace», ha detto un portavoce del dipartimento. Il DHS ha inoltre presentato una richiesta di rimozione tramite l'azienda di sicurezza ZeroFox, chiedendo al registrar del dominio di smettere di servire i dati di contatto e localizzazione di persone che non avevano acconsentito alla pubblicazione. Con gli hacker e Okta che offrono versioni contrastanti, come i record siano stati ottenuti resta la domanda centrale aperta — una domanda che eventuali risulati della risposta del dipartimento o ulteriori prove delle aziende potrebbero risolvere.

Il sito di ricerca basato sui dati ha smesso di caricarsi giovedì, con il dominio che mostra un blocco del registrar, e Bluesky sta bloccando i link verso l'organizzazione no profit che ospita l'archivio. Un campione di dipendenti identificati è stato confrontato con altri record, ma l'intero archivio non è stato verificato.

La pubblicazione segue un episodio simile a settembre, quando il gruppo di cybercriminalità ShinyHunters ha rivendicato il possesso di 2 o 3 terabyte di dati su agenti FBI e candidati, spingendo l'agenzia a dire al personale di dare per scontato che gli hacker abbiano i loro dati personali — rendendo questo il secondo episodio in altrettanti mesi in cui hacker hanno rivendicato o pubblicato dati personali legati a dipendenti federali statunitensi.

I record più recenti nell'archivio Icepick risalgono al 19 agosto, e alcune voci — inclusi membri dello staff CISA che hanno nel frattempo lasciato l'agenzia — sono già obsolete, il che significa che alcuni elenchi potrebbero non riflettere più chi occupa attualmente un dato incarico o numero di telefono.