Un groupe hacktiviste affirme avoir piraté un service d’authentification unique du Département de la Sécurité intérieure et exposé des informations sur plus de 41 000 employés, dont des membres du personnel de l’Immigration and Customs Enforcement et des Douanes et de la Protection des frontières, ainsi que des spécialistes gouvernementaux de la cybersécurité.
Les données ont été publiées dans un dépôt consultable appelé Icepick, sur le site de Distributed Denial of Secrets. Le groupe, qui se fait appeler Department of Peace, aurait obtenu les informations par l’intermédiaire d’un service Okta utilisé par le DHS. Des copies de la base de données ont également été transmises à la journaliste d’investigation suisse et chercheuse en cybersécurité maia arson crimew, qui a conçu un outil permettant de la parcourir.
Les dossiers exposés comprendraient des noms, des coordonnées, des affectations professionnelles, des adresses de bureaux et des numéros de téléphone, ainsi que des informations sur des systèmes internes. L’archive a également révélé une liste d’applications connectées au tableau de bord de connexion des employés, dont des logiciels de surveillance tels que Penlink et des outils d’IA comme ChatGPT et Gemini. Le contenu des données soulève des questions sur les informations que les agences fédérales peuvent saisir dans des services d’IA commerciaux.
Le groupe a présenté cette intrusion comme des représailles contre la surveillance gouvernementale et l’application des lois sur l’immigration. Il a fait référence aux propos tenus en juillet par le secrétaire du DHS, Markwayne Mullin, sur le fait de « faire monter la pression dans les rues », et a déclaré : « Voilà ce qui arrive à l’ICE quand vous faites ça. » Une note diffusée avec les fichiers ajoutait : « Ils ont nos informations, il est donc normal que nous ayons les leurs. »
Un porte-parole du DHS a déclaré à CNET que le département était au courant d’une possible faille et travaillait à y remédier. Il a indiqué que l’agence prenait au sérieux les menaces visant ses employés et ses agents, et qu’elle s’efforcerait de veiller à leur protection.
Le DHS a cherché à faire retirer les sites hébergeant les informations, notamment l’archive consultable d’Icepick. Bluesky a bloqué les liens vers DDoSecrets, invoquant ses règles interdisant le partage non autorisé d’informations personnelles et d’autres contenus susceptibles de créer des risques pour la sécurité.
Même si les 41 000 employés évoqués ne représentent qu’une partie des près de 250 000 personnes travaillant au DHS, l’ampleur des informations pourrait faire peser des risques sur le personnel et les opérations. Le recoupement des dossiers pourrait révéler des activités sous couverture, tandis que les données peuvent également concerner des employés sans rôle direct dans l’application de la loi, comme le personnel de sécurité des aéroports. Emma Best, cofondatrice de DDoSecrets, a déclaré que l’archive n’était pas simplement un annuaire de tous les employés du département, mais qu’elle identifiait des personnes participant à l’élaboration des politiques et des opérations du DHS.
Sources: CNET.