Siber güvenlik endüstrisinin yıllık Whack-a-Mole oyununa dikkat eden hiç kimseyi kesinlikle şaşırtmayacak bir gelişmeyle, bir hacker 41.000'den fazla İç Güvenlik Bakanlığı (DHS) çalışanının kişisel bilgilerini çaldı. İlk olarak TechCrunch ve Wired tarafından bildirilen ihlal, DHS personelinin - ABD Göçmenlik ve Gümrük Muhafaza (ICE) ile Gümrük ve Sınır Koruma (CBP) çalışanları dahil - isimlerini, iş unvanlarını, telefon numaralarını, e-posta adreslerini ve ofis konumlarını açığa çıkarıyor. Çünkü "iç güvenlik" denince akla gelen şey, ön kapıyı açık bırakmaktır.

Keyifli bir pasif-agresif takma ad olan "Barış Bakanlığı" (Department of Peace) altında faaliyet gösteren hacker, DHS'nin kullandığı kimlik ve erişim yönetimi hizmeti Okta üzerinden erişim sağladı. Kayıtların yaklaşık 21.000'i CBP çalışanlarına, yaklaşık 7.000'i ise ICE personeline ait. Veri seti ayrıca Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ABD Vatandaşlık ve Göçmenlik Hizmetleri (USCIS) ve İç Güvenlik Soruşturmaları (HSI) kayıtlarını da içeriyor. Yani kısacası, kahve fincanı hariç, departmanın organizasyon şemasının tam bir turu.

DHS'nin, ABD genelinde göçmenlik karşıtı baskınlar düzenleyen ve çevrimiçi eleştirmenlerin izini süren CBP ve ICE ajanlarının kimliklerini gizlemeye çalıştığı bildiriliyor - bu da sızıntıyı özellikle garip kılıyor. "Barış Bakanlığı" hacker'ı TechCrunch'a verdiği demeçte, "Onlar bizim bilgilerimize sahip, o yüzden onların bilgilerine sahip olmamız da adil," diyerek herhangi bir oyun alanı adalet savaşçısını ciddi bir onayla başını sallatacak bir gerekçe sundu. Sızıntı, hacker'ların FBI'dan çalışanları ve iş başvuru sahiplerine ait verileri çalmasından sadece haftalar sonra geliyor; bu da federal ajansların şu anda "verilerini en dramatik şekilde kim kaybedecek" oyununda yarıştığını gösteriyor - ve kazanmak amaç değil.

Çalınan DHS bilgilerinin, hacktivist maia arson crimew'e verildiği ve onun da bunları, sızdırılan "Icepick" veri setini barındıran kar amacı gütmeyen Distributed Denial of Secrets (DDoSecrets) ile paylaştığı bildirildi. Çünkü hassas hükümet verilerini sızdıracaksanız, ona akılda kalıcı bir isim vermekten zarar gelmez. Veri seti ayrıca, yüz tanıma uygulaması Mobile Fortify ve telefonlardan ve çevrimiçi hizmetlerden veri toplayıp analiz edebilen PenLink gibi gözetim araçlarına erişimi olan DHS grupları hakkında bilgiler içeriyor. Yani sadece kimin orada çalıştığını değil, aynı zamanda hangi oyuncaklarla oynadıklarını da biliyoruz.

DHS, The Verge'in yorum talebine hemen yanıt vermedi - muhtemelen Okta şifrelerini değiştirmekle meşguldü.