I en utveckling som absolut inte överraskar någon som följt cybersäkerhetsbranschens årliga omgång av Whack-a-Mole, har en hacker stulit personuppgifter från fler än 41 000 anställda på USA:s departement för inrikes säkerhet (DHS). Intrånget, som först rapporterades av TechCrunch och Wired, exponerar namn, befattningar, telefonnummer, e-postadresser och kontorsplatser för DHS-personal – inklusive de vid US Immigration and Customs Enforcement (ICE) och Customs and Border Protection (CBP). För inget säger väl "inrikes säkerhet" som att lämna ytterdörren olåst.

Hackern, som verkar under det förtjusande passivt-aggressiva aliaset "Department of Peace", fick åtkomst via Okta, den identitets- och åtkomsthanteringstjänst som DHS använder. Ungefär 21 000 av posterna tillhör CBP-anställda, medan närmare 7 000 rör ICE-personal. Datasetet innehåller också poster från Cybersecurity and Infrastructure Security Agency (CISA), US Citizenship and Immigration Services (USCIS) och Homeland Security Investigations (HSI). Så i princip en full rundtur i departementets organisationsschema, minus kaffemuggen.

DHS ska enligt uppgift ha arbetat för att dölja identiteten på CBP- och ICE-agenter – som har genomfört anti-invandringsrazzior runt om i USA och spårat upp onlinekritiker – vilket gör den här läckan särskilt besvärande. "De har vår information, så det är bara rättvist att vi har deras", sade hackern "Department of Peace" till TechCrunch, och levererade en motivering som skulle få vilken rättvisekrigare på skolgården som helst att nicka högtidligt instämmande. Läckan kommer bara veckor efter att hackare stulit data från FBI om dess anställda och jobbsökande, vilket antyder att federala myndigheter för närvarande tävlar i "vem kan förlora sin data mest dramatiskt" – och att vinna är inte målet.

Den stulna DHS-informationen ska ha överlämnats till hacktivisten maia arson crimew, som delade den med Distributed Denial of Secrets (DDoSecrets), en ideell organisation som nu hostar det läckta "Icepick"-datasetet. För om man nu ska läcka känsliga myndighetsdata kan man lika gärna ge den ett minnesvärt namn. Datasetet innehåller också information om DHS-grupper med tillgång till övervakningsverktyg som ansiktsigenkänningsappen Mobile Fortify och PenLink, som kan samla in och analysera data från telefoner och onlinetjänster. Så nu vet vi inte bara vilka som jobbar där, utan också vilka leksaker de får leka med.

DHS svarade inte omedelbart på The Verges begäran om kommentar – förmodligen för att de var upptagna med att byta sina Okta-lösenord.