Imiona i nazwiska, stanowiska, lokalizacje biur oraz numery telefonów ponad 41 000 pracowników i współpracowników amerykańskiego Departamentu Bezpieczeństwa Krajowego (DHS) zostały w środę opublikowane w internecie przez organizację non profit zajmującą się transparentnością, która twierdzi, że rejestry przekazała grupa hakerów działająca z pobudek politycznych.

Organizacja non profit Distributed Denial of Secrets publikuje wycieki dokumentów i wcześniej opublikowała duże zbiory danych amerykańskich służb ścigania, w tym rejestry policyjne w 2020 roku. Materiały z DHS opublikowała pod nazwą Icepick 28 października i twierdzi, że hakerzy, którzy nazywają się Department of Peace, przejęli rejestry z usługi logowania jednokrotnego (single sign-on) Okta używanej przez DHS — systemu logowania, który pozwala pracownikom uzyskiwać dostęp do wielu wewnętrznych narzędzi za pomocą jednego konta i który zazwyczaj przechowuje profil każdego zarządzanego pracownika. Haktywiści to hakerzy kierujący się polityką, a nie zyskiem.

Okta, firma stojąca za usługą logowania, zakwestionowała to twierdzenie. „Okta jest bezpieczna i nie mamy dowodów na to, że nasze dane lub systemy zostały naruszone” — przekazała firma w oświadczeniu dla Reuters. Oprogramowanie logowania tej firmy z San Francisco obsługuje logowanie pracowników w tysiącach organizacji na całym świecie.

Department of Peace oświadczył, że działali po tym, jak sekretarz Bezpieczeństwa Krajowego Markwayne Mullin zapowiedział zaostrzenie operacji Immigration and Customs Enforcement, znanej jako ICE. „17 lipca Markwayne Mullin powiedział, że 'podkręca temperaturę'. Tak właśnie dzieje się z ICE, kiedy to robisz” — powiedział rzecznik grupy. „Oni mają nasze informacje, więc sprawiedliwe jest, żebyśmy i my mieli ich” — napisali hakerzy.

Przeszukiwalne archiwum obejmuje 41 191 osób, w tym 21 329 z Customs and Border Protection oraz około 10 000 z ICE — jedna trzecia z nich w pionie śledczym, Homeland Security Investigations. Zawiera również ponad 55 000 wewnętrznych grup uprawnień, czyli etykiet kontrolujących, kto może uzyskać dostęp do jakich systemów, wraz z imieniem i nazwiskiem, stanowiskiem, biurem, adresem e-mail, numerem telefonu i przełożonym każdej osoby. Współzałożycielka DDoSecrets Emma Best powiedziała, że zbiór danych nie zawiera adresów zamieszkania.

DHS nadzoruje ochronę granic, egzekwowanie prawa imigracyjnego i cyberbezpieczeństwo — w tym Cybersecurity and Infrastructure Security Agency, cyfrową tarczę obronną rządu federalnego — więc plik działa jak katalog mówiący, kto czym się zajmuje, komu kto podlega i jak się z kimś skontaktować. Grupy na rzecz transparentności twierdzą, że dane kontaktowe są przydatne przy wnioskach o dostęp do dokumentów publicznych. Badacze bezpieczeństwa ostrzegają jednak, że ta sama lista może pomóc każdemu, kto chce podszyć się pod przełożonego przez telefon lub ustalić, kto stoi za wrażliwym śledztwem.

„DHS jest świadome potencjalnego naruszenia danych i aktywnie pracuje nad szybkim i skutecznym rozwiązaniem sytuacji” — powiedział rzecznik departamentu. DHS złożyło również wniosek o usunięcie treści za pośrednictwem firmy bezpieczeństwa ZeroFox, prosząc rejestratora domen o zaprzestanie udostępniania danych kontaktowych i lokalizacyjnych osób, które nie wyraziły zgody na ich publikację. Ponieważ hakerzy i Okta przedstawiają sprzeczne wersje wydarzeń, sposób pozyskania rejestrów pozostaje kluczowym otwartym pytaniem — które mogą rozstrzygnąć ustalenia z działań podjętych przez departament lub dalsze dowody od firm.

Strona wyszukiwania zbudowana na danych przestała się ładować w czwartek, a domena wykazuje blokadę rejestratora; Bluesky blokuje linki do organizacji non profit hostującej archiwum. Próbka nazwisk pracowników została dopasowana do innych rejestrów, ale całe archiwum nie zostało zweryfikowane.

Publikacja nastąpiła po podobnym wydarzeniu we wrześniu, kiedy grupa cyberprzestępcza ShinyHunters twierdziła, że posiada 2–3 terabajty danych na temat agentów FBI i osób ubiegających się o pracę, co skłoniło biuro do poinformowania pracowników, aby zakładali, że hakerzy mają ich dane osobowe — jest to drugi przypadek w ciągu dwóch miesięcy, w którym hakerzy twierdzili lub publikowali dane osobowe pracowników federalnych USA.

Najnowsze rejestry w archiwum Icepick pochodzą z 19 sierpnia, a niektóre wpisy — w tym dane pracowników CISA, którzy od tego czasu odeszli z agencji — są już nieaktualne, co oznacza, że niektóre pozycje mogą już nie odzwierciedlać tego, kto obecnie zajmuje dane stanowisko lub posiada dany numer telefonu.