Namen, functietitels, kantoorlocaties en telefoonnummers van meer dan 41.000 medewerkers en aannemers van het Amerikaanse Department of Homeland Security zijn woensdag online gepubliceerd door een transparantieorganisatie, die zegt dat de gegevens zijn overhandigd door een politiek gemotiveerde hackersgroep.

De organisatie, Distributed Denial of Secrets, publiceert gelekte documenten en heeft eerder grote Amerikaanse datasets over rechtshandhaving gepubliceerd, waaronder politiegegevens in 2020. Het bracht het DHS-materiaal op 28 oktober uit onder de naam Icepick en zegt dat de hackers, die zich het Department of Peace noemen, de gegevens hebben gehaald uit een Okta single sign-on-dienst die door DHS wordt gebruikt — een inlogsysteem waarmee medewerkers met één account toegang krijgen tot veel interne tools, en dat doorgaans een profiel opslaat voor elke werknemer die het beheert. Hacktivisten zijn hackers die worden gedreven door politiek in plaats van winst.

Okta, het bedrijf achter de inlogdienst, betwist de claim. "Okta is veilig en we hebben geen bewijs dat onze gegevens of systemen zijn gecompromitteerd", liet het bedrijf weten aan Reuters. De inlogsoftware van het bedrijf uit San Francisco vormt de basis van medewerkerslogins bij duizenden organisaties wereldwijd.

Het Department of Peace zegt te hebben gehandeld nadat minister van Homeland Security Markwayne Mullin heeft aangekondigd de operaties van Immigration and Customs Enforcement, bekend als ICE, op te voeren. "Op 17 juli zei Markwayne Mullin dat hij 'de hitte zou opvoeren'. Dit is wat er met ICE gebeurt als je dat doet", zei een woordvoerder van de groep. "Zij hebben onze informatie, dus het is alleen maar eerlijk dat wij die van hen hebben", schreven de hackers.

Het doorzoekbare archief bevat 41.191 personen, waaronder 21.329 van Customs and Border Protection en ongeveer 10.000 van ICE — een derde daarvan werkzaam bij de onderzoekstak, Homeland Security Investigations. Het vermeldt ook meer dan 55.000 interne toestemmingsgroepen, labels die bepalen wie toegang heeft tot welke systemen, naast de naam, functie, het kantoor, e-mailadres, telefoonnummer en manager van elke persoon. DDoSecrets-medegrondlegger Emma Best zei dat de dataset geen thuisadressen bevat.

DHS houdt toezicht op grensbescherming, immigratiehandhaving en cyberbeveiliging — waaronder het Cybersecurity and Infrastructure Security Agency, de cyberverdedigingstak van de federale overheid — waardoor het bestand werkt als een gids van wie wat doet, wie aan wie rapporteert en hoe iemand te bereiken is. Transparantieorganisaties zeggen dat de contactgegevens nuttig zijn voor verzoeken om overheidsinformatie. Beveiligingsonderzoekers waarschuwen echter dat dezelfde lijst iedereen kan helpen die iemand wilde imiteren via de telefoon of wilde achterhalen wie achter een gevoelig onderzoek zit.

"DHS is op de hoogte van een mogelijke datalek en werkt actief aan een snelle en effectieve aanpak van de situatie", zei een woordvoerder van het departement. DHS heeft ook een takedown-verzoek ingediend via het beveiligingsbedrijf ZeroFox, met het verzoek aan de domeinregistrar te stoppen met het verstrekken van contact- en locatiegegevens van personen die niet hebben ingestemd met publicatie. Nu hackers en Okta tegenstrijdige verhalen presenteren, blijft de vraag hoe de gegevens zijn verkregen de centrale open kwestie — een vraag die bevindingen van de respons van het departement of verder bewijs van de bedrijven kunnen beantwoorden.

De op de data gebaseerde zoeksite laadde donderdag niet meer, waarbij het domein een registrar-hold vertoonde, en Bluesky blokkeert links naar de organisatie die het archief host. Een steekproef van bij naam genoemde medewerkers is gekoppeld aan andere gegevens, maar het volledige archief is niet geverifieerd.

De publicatie volgt op een soortgelijke episode in september, toen de cybercriminaliteitsgroep ShinyHunters beweerde 2 tot 3 terabyte aan gegevens over FBI-agenten en sollicitanten te bezitten, wat het bureau ertoe bracht medewerkers te vertellen ervan uit te gaan dat hackers hun persoonlijke gegevens hebben — waarmee dit de tweede episode in evenveel maanden is waarin hackers persoonlijke gegevens van Amerikaanse federale werknemers claimden of publiceerden.

De nieuwste gegevens in het Icepick-archief dateren van 19 augustus, en sommige items — waaronder CISA-medewerkers die inmiddels het bureau hebben verlaten — zijn al verouderd, wat betekent dat sommige vermeldingen mogelijk niet langer weergeven wie momenteel een bepaalde functie of dit telefoonnummer heeft.