In een ontwikkeling die absoluut niemand zal verbazen die de jaarlijkse Whack-a-Mole van de cybersecurity-industrie heeft gevolgd, heeft een hacker persoonlijke gegevens gestolen van meer dan 41.000 medewerkers van het Department of Homeland Security. De inbreuk, voor het eerst gemeld door TechCrunch en Wired, legt namen, functietitels, telefoonnummers, e-mailadressen en kantoorlocaties van DHS-personeel bloot - inclusief die van US Immigration and Customs Enforcement (ICE) en Customs and Border Protection (CBP). Want niets zegt "homeland security" als een voordeur die op een kier staat.

De hacker, opererend onder de heerlijk passief-agressieve naam "Department of Peace", kreeg toegang via Okta, de identiteits- en toegangsbeheerdienst die DHS gebruikt. Ongeveer 21.000 van de gegevens zijn van CBP-medewerkers, terwijl bijna 7.000 betrekking hebben op ICE-personeel. De dataset bevat ook gegevens van de Cybersecurity and Infrastructure Security Agency (CISA), US Citizenship and Immigration Services (USCIS) en Homeland Security Investigations (HSI). Dus eigenlijk een complete rondleiding door de organisatiekaart van het departement, minus de koffiemok.

Naar verluidt heeft DHS geprobeerd de identiteiten van CBP- en ICE-agenten te verbergen - die anti-immigratierazzia's in de VS uitvoeren en online critici opsporen - wat deze lek bijzonder pijnlijk maakt. "Zij hebben onze informatie, dus het is alleen maar eerlijk dat wij de hunne hebben," vertelde de "Department of Peace"-hacker aan TechCrunch, met een redenering waar elke speelplaats-rechtvaardigheidsstrijder plechtig mee zou instemmen. Het lek komt slechts weken nadat hackers gegevens van de FBI over hun medewerkers en sollicitanten stalen, wat suggereert dat federale agentschappen momenteel strijden in een potje "wie kan zijn data het meest dramatisch verliezen" - en winnen is niet het doel.

De gestolen DHS-informatie is naar verluidt doorgegeven aan hacktivist maia arson crimew, die het deelde met Distributed Denial of Secrets (DDoSecrets), een non-profitorganisatie die nu de gelekte "Icepick"-dataset host. Want als je toch gevoelige overheidsgegevens lekt, kun je ze net zo goed een gedenkwaardige naam geven. De dataset bevat ook informatie over DHS-groepen met toegang tot surveillancetools zoals de gezichtsherkenningsapp Mobile Fortify en PenLink, die gegevens van telefoons en onlinediensten kan verzamelen en analyseren. Dus niet alleen weten we wie daar werkt, we weten ook met welk speelgoed ze mogen spelen.

DHS reageerde niet onmiddellijk op een verzoek om commentaar van The Verge - vermoedelijk omdat ze druk bezig waren hun Okta-wachtwoorden te wijzigen.