사이버 보안 업계의 연례 두더지 잡기 게임을 주의 깊게 지켜본 사람이라면 전혀 놀라지 않을 소식이 하나 있다. 한 해커가 국토안보부(DHS) 직원 41,000명 이상의 개인 정보를 훔쳤다. 테크크런치와 와이어드가 처음 보도한 이번 유출로 DHS 직원들의 이름, 직책, 전화번호, 이메일 주소, 사무실 위치가 노출됐다. 미국 이민세관단속국(ICE)과 관세국경보호청(CBP) 직원들도 포함된다. '국토 안보'를 말하면서 정문을 열어둔 셈이니, 그야말로 아이러니의 정수를 보여준다.

'평화부(Department of Peace)'라는 유쾌하게도 수동공격적인 이름을 내건 해커는 DHS가 사용하는 신원 및 접근 관리 서비스인 옥타(Okta)를 통해 접근 권한을 얻었다. 기록 중 약 21,000건은 CBP 직원의 것이고, 거의 7,000건은 ICE 직원의 것이다. 데이터셋에는 사이버보안 및 인프라 보안국(CISA), 미국 시민권 및 이민국(USCIS), 국토안보수사국(HSI)의 기록도 포함되어 있다. 즉, 커피 머그잔만 빼고 부서 조직도의 전체 투어를 제공한 셈이다.

DHS는 미국 전역에서 반이민 단속을 벌이고 온라인 비판자들을 추적해온 CBP와 ICE 요원들의 신원을 숨기기 위해 노력해왔다고 한다. 그래서 이번 유출은 특히나 난처하다. '평화부' 해커는 테크크런치에 "그들이 우리 정보를 가지고 있으니, 우리가 그들 정보를 가지는 것도 공정하다"라고 말했다. 놀이터 정의의 용사라면 누구나 엄숙하게 고개를 끄덕일 만한 논리다. 이번 유출은 해커들이 FBI 직원과 입사 지원자 데이터를 훔친 지 불과 몇 주 만에 발생했다. 연방 기관들이 현재 '누가 데이터를 가장 극적으로 잃을 수 있는가' 게임을 벌이고 있다는 뜻이며, 이기고 있는 것은 아니다.

훔친 DHS 정보는 해커 활동가 마이아 아슨 크라임유(maia arson crimew)에게 전달됐고, 그녀는 비영리 단체 분산된 비밀 거부(DDoSecrets)와 공유했다. DDoSecrets는 현재 유출된 '아이스픽(Icepick)' 데이터셋을 호스팅하고 있다. 민감한 정부 데이터를 유출할 거라면, 기억에 남는 이름을 붙여주는 게 좋지 않겠는가. 데이터셋에는 안면 인식 앱 모바일 포티파이(Mobile Fortify)와 휴대전화 및 온라인 서비스에서 데이터를 수집·분석하는 펜링크(PenLink) 같은 감시 도구에 접근할 수 있는 DHS 그룹 정보도 포함되어 있다. 따라서 우리는 누가 그곳에서 일하는지뿐만 아니라, 그들이 어떤 장난감을 가지고 노는지도 알게 됐다.

DHS는 더 버지의 논평 요청에 즉시 응답하지 않았다. 아마도 옥타 비밀번호를 바꾸느라 바빴을 것이다.