Num desenvolvimento que não surpreenderá absolutamente ninguém que tenha prestado atenção ao jogo anual de Whack-a-Mole da indústria de cibersegurança, um hacker roubou informações pessoais de mais de 41.000 funcionários do Departamento de Segurança Interna (DHS). A violação, relatada inicialmente pelo TechCrunch e pela Wired, expõe nomes, cargos, números de telefone, endereços de e-mail e localizações de escritório de funcionários do DHS — incluindo os do Serviço de Imigração e Alfândega dos EUA (ICE) e da Alfândega e Proteção de Fronteiras (CBP). Porque nada diz "segurança interna" como deixar a porta da frente destrancada.

O hacker, operando sob o deliciosamente passivo-agressivo pseudônimo "Department of Peace" (Departamento da Paz), obteve acesso através do Okta, o serviço de gerenciamento de identidade e acesso usado pelo DHS. Cerca de 21.000 dos registros pertencem a funcionários da CBP, enquanto quase 7.000 dizem respeito à equipe do ICE. O conjunto de dados também inclui registros da Agência de Segurança Cibernética e Infraestrutura (CISA), do Serviço de Cidadania e Imigração dos EUA (USCIS) e das Investigações de Segurança Interna (HSI). Então, essencialmente, um tour completo pelo organograma do departamento, menos a caneca de café.

O DHS, segundo relatos, tem trabalhado para ocultar as identidades de agentes da CBP e do ICE — que têm conduzido operações anti-imigração em todo os EUA e rastreado críticos online — o que torna este vazamento particularmente embaraçoso. "Eles têm nossas informações, então é justo que tenhamos as deles", disse o hacker do "Department of Peace" ao TechCrunch, oferecendo uma justificativa que faria qualquer justiceiro de playground assentir solenemente. O vazamento ocorre apenas semanas depois de hackers roubarem dados do FBI sobre seus funcionários e candidatos a emprego, sugerindo que as agências federais estão atualmente competindo num jogo de "quem consegue perder seus dados de forma mais dramática" — e vencer não é o objetivo.

As informações roubadas do DHS foram, segundo relatos, entregues à hacktivista maia arson crimew, que as compartilhou com o Distributed Denial of Secrets (DDoSecrets), uma organização sem fins lucrativos que agora hospeda o conjunto de dados vazado "Icepick". Porque, se você vai vazar dados governamentais sensíveis, que pelo menos dê a eles um nome memorável. O conjunto de dados também inclui informações sobre grupos do DHS com acesso a ferramentas de vigilância como o aplicativo de reconhecimento facial Mobile Fortify e o PenLink, que pode coletar e analisar dados de telefones e serviços online. Então, não só sabemos quem trabalha lá, como também sabemos com quais brinquedos eles podem brincar.

O DHS não respondeu imediatamente ao pedido de comentário do The Verge — presumivelmente porque estavam ocupados trocando suas senhas do Okta.