In uno sviluppo che non sorprenderà assolutamente nessuno che abbia seguito l'annuale partita a Whack-a-Mole del settore della cybersecurity, un hacker ha rubato informazioni personali di oltre 41.000 dipendenti del Department of Homeland Security. La violazione, riportata per la prima volta da TechCrunch e Wired, espone nomi, qualifiche, numeri di telefono, indirizzi email e ubicazioni degli uffici del personale DHS - inclusi quelli dell'US Immigration and Customs Enforcement (ICE) e della Customs and Border Protection (CBP). Perché nulla dice "sicurezza interna" come lasciare la porta d'ingresso aperta.

L'hacker, operante sotto il deliziosamente passivo-aggressivo moniker "Department of Peace", ha ottenuto l'accesso tramite Okta, il servizio di gestione delle identità e degli accessi utilizzato dal DHS. Circa 21.000 dei record appartengono a dipendenti CBP, mentre quasi 7.000 riguardano personale ICE. Il dataset include anche record della Cybersecurity and Infrastructure Security Agency (CISA), dell'US Citizenship and Immigration Services (USCIS) e dell'Homeland Security Investigations (HSI). Quindi, essenzialmente, un tour completo dell'organigramma del dipartimento, meno la tazza del caffè.

Il DHS avrebbe lavorato per nascondere le identità degli agenti CBP e ICE - che hanno condotto raid anti-immigrazione in tutti gli Stati Uniti e rintracciato critici online - il che rende questa fuga di dati particolarmente imbarazzante. "Loro hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro", ha detto l'hacker "Department of Peace" a TechCrunch, offrendo una motivazione che farebbe annuire solennemente qualsiasi guerriero della giustizia da cortile. La fuga di dati arriva solo poche settimane dopo che gli hacker hanno rubato dati dall'FBI sui suoi dipendenti e candidati di lavoro, suggerendo che le agenzie federali stanno attualmente gareggiando in una partita a "chi riesce a perdere i propri dati nel modo più drammatico" - e vincere non è l'obiettivo.

Le informazioni rubate al DHS sarebbero state consegnate all'hacktivista maia arson crimew, che le ha condivise con Distributed Denial of Secrets (DDoSecrets), un'organizzazione no-profit che ora ospita il dataset trapelato "Icepick". Perché se devi far trapelare dati governativi sensibili, tanto vale dargli un nome memorabile. Il dataset include anche informazioni sui gruppi DHS con accesso a strumenti di sorveglianza come l'app di riconoscimento facciale Mobile Fortify e PenLink, che può raccogliere e analizzare dati da telefoni e servizi online. Quindi non solo sappiamo chi ci lavora, ma sappiamo anche con quali giocattoli possono giocare.

Il DHS non ha risposto immediatamente alla richiesta di commento di The Verge - presumibilmente perché erano impegnati a cambiare le loro password Okta.