Un gruppo hacktivista afferma di aver violato un servizio di single sign-on del Department of Homeland Security e di aver esposto le informazioni di oltre 41.000 dipendenti, tra cui personale dell’Immigration and Customs Enforcement e della Customs and Border Protection, nonché operatori della cybersicurezza governativa.
I dati sono stati pubblicati in un archivio consultabile chiamato Icepick sul sito web di Distributed Denial of Secrets. Secondo quanto riferito, il gruppo, che si fa chiamare Department of Peace, ha ottenuto le informazioni tramite un servizio Okta utilizzato dal DHS. Copie del database sono state inoltre condivise con la giornalista investigativa svizzera e ricercatrice di cybersicurezza maia arson crimew, che ha creato uno strumento per effettuare ricerche al suo interno.
Secondo quanto riferito, i dati esposti comprendono nomi, recapiti, incarichi lavorativi, indirizzi degli uffici e numeri di telefono, oltre a informazioni sui sistemi interni. L’archivio ha inoltre rivelato un elenco di applicazioni collegate alla dashboard di accesso dei dipendenti, tra cui software di sorveglianza come Penlink e strumenti di IA come ChatGPT e Gemini. Il contenuto dei dati ha sollevato interrogativi sulle informazioni che le agenzie federali potrebbero inserire nei servizi commerciali di IA.
Il gruppo ha presentato la violazione come una ritorsione per la sorveglianza governativa e l’applicazione delle leggi sull’immigrazione. Ha fatto riferimento alle dichiarazioni di luglio del segretario del DHS Markwayne Mullin sul «rendere più intensa la pressione nelle strade» e ha affermato: «Ecco cosa succede all’ICE quando lo fai». Una nota distribuita insieme ai file aggiungeva: «Loro hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro».
Un portavoce del DHS ha dichiarato a CNET che il dipartimento era al corrente di una potenziale violazione e stava lavorando per porvi rimedio. Il portavoce ha affermato che l’agenzia prende sul serio le minacce contro dipendenti e agenti e avrebbe lavorato per garantire la loro protezione.
Il DHS ha cercato di rimuovere i siti web che ospitano le informazioni, compreso l’archivio consultabile di Icepick. Bluesky ha bloccato i link a DDoSecrets, citando le proprie regole contro la condivisione non autorizzata di informazioni personali e di altri materiali che potrebbero comportare rischi per la sicurezza.
Sebbene i 41.000 dipendenti di cui si parla rappresentino una parte dei quasi 250.000 lavoratori del DHS, l’ampiezza delle informazioni potrebbe creare rischi per il personale e le attività operative. Incrociare i dati potrebbe rivelare operazioni sotto copertura; le informazioni potrebbero inoltre riguardare personale senza un ruolo diretto nell’applicazione delle leggi, come gli addetti alla sicurezza aeroportuale. Emma Best, cofondatrice di DDoSecrets, ha affermato che l’archivio non era semplicemente un elenco di tutti i dipendenti del dipartimento, ma identificava le persone coinvolte nella definizione delle politiche e delle attività operative del DHS.
Fonti: CNET.