W wydarzeniu, które absolutnie nikogo nie zaskoczy, kto śledzi coroczną grę w „zabij kreta” w branży cyberbezpieczeństwa, haker ukradł dane osobowe ponad 41 000 pracowników Departamentu Bezpieczeństwa Krajowego (DHS). Włamanie, o którym jako pierwsze doniosły TechCrunch i Wired, ujawnia nazwiska, stanowiska, numery telefonów, adresy e-mail i lokalizacje biur pracowników DHS – w tym tych z amerykańskiej Agencji ds. Imigracji i Egzekwowania Ceł (ICE) oraz Urzędu Celnego i Ochrony Granic (CBP). Bo nic nie mówi „bezpieczeństwo krajowe” tak jak pozostawienie otwartych drzwi.

Haker, działający pod rozkosznie pasywno-agresywnym pseudonimem „Department of Peace” (Departament Pokoju), uzyskał dostęp przez Okta, usługę zarządzania tożsamością i dostępem, której używa DHS. Około 21 000 rekordów należy do pracowników CBP, a prawie 7000 dotyczy personelu ICE. Zbiór danych obejmuje również rekordy z Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA), Amerykańskich Służb Obywatelstwa i Imigracji (USCIS) oraz Homeland Security Investigations (HSI). Więc zasadniczo pełna wycieczka po schemacie organizacyjnym departamentu, minus kubek do kawy.

DHS podobno starał się ukryć tożsamości agentów CBP i ICE – którzy przeprowadzali antyimigracyjne naloty w całych Stanach Zjednoczonych i ścigali internetowych krytyków – co czyni ten wyciek szczególnie niezręcznym. „Oni mają nasze informacje, więc tylko sprawiedliwie, że my mamy ich” – powiedział TechCrunch haker „Department of Peace”, oferując uzasadnienie, które każdy bojownik o sprawiedliwość z piaskownicy przyjąłby z uroczystym skinieniem głowy. Wyciek nastąpił zaledwie kilka tygodni po tym, jak hakerzy ukradli dane FBI dotyczące jego pracowników i kandydatów do pracy, co sugeruje, że agencje federalne obecnie rywalizują w grze „kto najbardziej dramatycznie straci swoje dane” – a wygrana nie jest celem.

Skradzione informacje DHS podobno przekazano hakerowi-aktywiście maia arson crimew, który udostępnił je Distributed Denial of Secrets (DDoSecrets), organizacji non-profit hostującej teraz wyciekły zbiór danych „Icepick”. Bo jeśli już wycieka się wrażliwe dane rządowe, to warto nadać im zapadającą w pamięć nazwę. Zbiór danych zawiera również informacje o grupach DHS mających dostęp do narzędzi inwigilacji, takich jak aplikacja do rozpoznawania twarzy Mobile Fortify i PenLink, która może zbierać i analizować dane z telefonów i usług online. Więc nie tylko wiemy, kto tam pracuje, ale także wiemy, jakimi zabawkami mogą się bawić.

DHS nie odpowiedział natychmiast na prośbę The Verge o komentarz – przypuszczalnie dlatego, że byli zajęci zmianą haseł do Okta.