Dans un développement qui ne surprendra absolument personne parmi ceux qui suivent le jeu annuel de taupe-gibier de l'industrie de la cybersécurité, un pirate a dérobé les informations personnelles de plus de 41 000 employés du Département de la Sécurité intérieure (DHS). La violation, rapportée pour la première fois par TechCrunch et Wired, expose les noms, intitulés de poste, numéros de téléphone, adresses e-mail et emplacements de bureau du personnel du DHS - y compris ceux de l'Immigration and Customs Enforcement (ICE) et du Customs and Border Protection (CBP). Parce que rien ne dit « sécurité intérieure » comme laisser la porte d'entrée ouverte.

Le pirate, opérant sous le pseudonyme délicieusement passif-agressif de « Department of Peace », a obtenu l'accès via Okta, le service de gestion des identités et des accès utilisé par le DHS. Environ 21 000 des dossiers appartiennent à des employés du CBP, tandis que près de 7 000 concernent le personnel de l'ICE. L'ensemble de données comprend également des dossiers de la Cybersecurity and Infrastructure Security Agency (CISA), de l'US Citizenship and Immigration Services (USCIS) et de Homeland Security Investigations (HSI). Donc, essentiellement, une visite complète de l'organigramme du département, moins la tasse à café.

Le DHS s'efforcerait, paraît-il, de dissimuler l'identité des agents du CBP et de l'ICE - qui mènent des raids anti-immigration à travers les États-Unis et traquent les critiques en ligne - ce qui rend cette fuite particulièrement gênante. « Ils ont nos informations, donc il est normal que nous ayons les leurs », a déclaré le pirate « Department of Peace » à TechCrunch, offrant une justification qui ferait hocher solennellement la tête de tout justicier de cour de récréation. La fuite survient quelques semaines seulement après que des pirates ont volé des données du FBI sur ses employés et candidats, suggérant que les agences fédérales se livrent actuellement à une compétition de « qui perdra ses données le plus dramatiquement » - et gagner n'est pas le but.

Les informations volées du DHS auraient été remises à la hacktiviste maia arson crimew, qui les a partagées avec Distributed Denial of Secrets (DDoSecrets), une organisation à but non lucratif qui héberge désormais l'ensemble de données fuité « Icepick ». Parce que si vous allez divulguer des données gouvernementales sensibles, autant leur donner un nom mémorable. L'ensemble de données comprend également des informations sur les groupes du DHS ayant accès à des outils de surveillance comme l'application de reconnaissance faciale Mobile Fortify et PenLink, qui peut collecter et analyser des données provenant de téléphones et de services en ligne. Donc non seulement nous savons qui travaille là-bas, mais nous savons aussi avec quels jouets ils s'amusent.

Le DHS n'a pas immédiatement répondu à la demande de commentaire de The Verge - probablement parce qu'ils étaient occupés à changer leurs mots de passe Okta.