Hacker ruba dati del personale a migliaia di dipendenti della Sicurezza Nazionale, inclusi agenti CBP e ICE

Migliaia di informazioni personali identificabili (PII) appartenenti a dipendenti del Dipartimento della Sicurezza Interna degli Stati Uniti (DHS) sono state pubblicate online in seguito a un furto di dati avvenuto all’inizio di quest’anno, in una violazione finora non rivelata.

La violazione include nomi, qualifiche professionali e informazioni di contatto lavorative, come indirizzi email, numeri di cellulare e ubicazioni degli uffici, di oltre 40.000 persone che lavorano per il dipartimento federale, inclusi agenti di frontiera e immigrazione, personale di sicurezza informatica e alti funzionari del dipartimento.

Un hacker, che si fa chiamare “Department of Peace”, ha affermato di aver ottenuto i dati da un sistema di single sign-on Okta utilizzato dalla Sicurezza Interna per consentire a dipendenti e appaltatori delle sue varie agenzie di accedere alla rete centrale. Il sistema Okta contiene anche registri IT e di accesso associati agli account utente dei dipendenti, inclusi dettagli sui sistemi e le app interne a cui sono autorizzati ad accedere.

Oltre la metà del set di dati – circa 21.000 registri – riguarda dipendenti della U.S. Customs and Border Protection (CBP), che operano negli aeroporti e in altri punti di ingresso. I dati contengono anche registri associati ad altri 10.000 dipendenti dell’Immigration and Customs Enforcement (ICE) e della sua unità Homeland Security Investigations (HSI), e poco meno di 1.000 dipendenti che lavorano per l’agenzia di cyber-sicurezza statunitense CISA.

Migliaia di registri aggiuntivi riguardano il personale che lavora presso la sede centrale del dipartimento e le sue altre agenzie, inclusi i servizi per la cittadinanza e l’immigrazione degli Stati Uniti e il Federal Protective Service.

“Loro hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro”, ha dichiarato “Department of Peace” in una nota lasciata con i dati, visionata da TechCrunch. L’hacker non ha risposto all’email di TechCrunch che richiedeva commenti e domande su come fosse stata condotta la violazione.

Questa è l’ultima violazione di dati a colpire il governo degli Stati Uniti negli ultimi mesi, seguendo precedenti attacchi che hanno coinvolto il furto di migliaia di registri del personale di agenti dell’FBI e le informazioni personali di milioni di militari in servizio e in pensione dall’unità di risorse umane del Pentagono. È anche la seconda violazione che coinvolge la Sicurezza Interna quest’anno, dopo che lo stesso hacker aveva affermato di aver sottratto migliaia di contratti tra il dipartimento e il settore privato, inclusi appaltatori della difesa e fornitori di sorveglianza.

L’ultimo lotto di dati violati, che sembra autentico, offre una rara – seppur incompleta – visione della portata e delle operazioni della Sicurezza Interna, le cui deportazioni, detenzioni arbitrarie e uccisioni di cittadini statunitensi sotto la sua leadership sono diventate un problema chiave per gli elettori in vista delle prossime elezioni di metà mandato negli Stati Uniti.

I dati sottratti alla Sicurezza Interna sono stati forniti alla giornalista e hacker maia arson crimew, che ne ha poi condiviso una copia con DDoSecrets, un collettivo senza scopo di lucro che ospita set di dati trapelati nell’interesse pubblico. TechCrunch ha verificato l’autenticità di una parte dei dati confrontando i nomi di diversi noti dipendenti della Sicurezza Interna con una copia offline del database. Le migliaia di registri della directory dei dipendenti sembrano essere state esfiltrate intorno a metà agosto, secondo i timestamp su ogni record personale. Il numero di record trapelati equivale a circa un quinto della forza lavoro della Sicurezza Interna, che conta circa 220.000 dipendenti.

Non è chiaro se la vulnerabilità che ha permesso la violazione sia stata risolta o se il Dipartimento della Sicurezza Interna fosse a conoscenza del furto di dati. Un portavoce del DHS ha dichiarato a TechCrunch dopo la pubblicazione: “Il DHS è a conoscenza di una potenziale violazione e sta lavorando attivamente per affrontare la situazione in modo rapido ed efficace. Prendiamo sul serio tutte le minacce alla sicurezza contro i nostri dipendenti e funzionari e lavoreremo per garantire che tutti siano adeguatamente protetti. Aggiorneremo il pubblico quando saranno disponibili ulteriori informazioni”. Contattata, Okta ha dichiarato di essere a conoscenza di questo rapporto. “Okta è sicuro e non abbiamo prove che i nostri dati o sistemi siano stati compromessi”, ha detto un portavoce.

Sebbene i dati trapelati includano informazioni identificabili su agenti e funzionari, il set di dati rivela anche maggiori dettagli sulle tecnologie di sorveglianza e sugli strumenti di cyber-sicurezza a cui i dipendenti del DHS potrebbero avere accesso. I critici hanno chiesto indagini sulle aziende tecnologiche che finanziano o forniscono la loro tecnologia all’ICE.

I dati trapelati contengono informazioni sull’appartenenza dei dipendenti a gruppi di utenti all’interno dell’Active Directory del dipartimento, un sistema che controlla l’accesso agli strumenti interni, ai servizi e alle offerte di terze parti utilizzate per il lavoro. La maggior parte dei dipendenti del DHS nel set di dati erano membri del gruppo di utenti che aveva accesso a Microsoft 365, il servizio cloud del gigante tecnologico che ospita le email e i file dell’agenzia, così come a gruppi di utenti per l’accesso ad Adobe Acrobat, Citrix e altri software desktop tipici.

I dati mostrano anche che circa 4.500 utenti, inclusi agenti ICE e funzionari addetti alle deportazioni, sono membri di un gruppo chiamato “Headspace_users”. Il fornitore di terapia online Headspace aveva in precedenza un contratto federale di 82.500 dollari con l’ICE, terminato nel 2023, per finanziare “software per la salute mentale richiesto per i dipendenti ERO”, un riferimento all’unità di deportazione dell’ICE. Un portavoce di Headspace ha dichiarato che l’azienda non ha fornito alcun servizio al DHS o all’ICE dal 2023.

Decine di altri gruppi di utenti fanno riferimento a Penlink, un’azienda di sorveglianza web che produce tecnologia che, a suo dire, può tracciare i dati di localizzazione di centinaia di milioni di dispositivi mobili. Penlink ha un contratto con l’ICE da anni. I gruppi di utenti variano in dimensioni, da una manciata di utenti negli uffici locali del DHS in tutto il paese a oltre 2.000 utenti nell’unità HSI dell’ICE a livello nazionale. Un gruppo fa specificamente riferimento a Penlink PLX, che l’azienda afferma essere utilizzato per acquisire e analizzare “intelligence in tempo reale” da telefonate, SMS, attività web e social media. Un portavoce di Penlink non ha risposto a una richiesta di commento.

Un gruppo di utenti include anche oltre 200 utenti CBP associati a Mobile Fortify, un’app di riconoscimento facciale utilizzata sia dagli agenti CBP che ICE per identificare le persone e verificare le loro informazioni e lo stato di immigrazione. I gruppi di utenti includono anche diversi dipendenti associati all’accesso a ChatGPT, inclusi alti funzionari del DHS, così come altri gruppi associati a indagini sui gruppi di hacker sostenuti dalla Cina noti come Salt Typhoon e Volt Typhoon.

Ricercatori e sostenitori dell’informazione pubblica affermano che i dati esposti potrebbero fornire indizi preziosi per indagini su presunti abusi da parte dell’amministrazione Trump, come l’identificazione degli indirizzi email degli agenti che possono essere utilizzati nelle richieste di registri pubblici ai sensi del Freedom of Information Act (FOIA).

“Gli indirizzi email e i numeri di telefono sono strumenti indispensabili per i ricercatori FOIA, spesso fanno la differenza tra una vaga richiesta di registri che viene ostacolata e una che ottiene risultati”, ha dichiarato Ryan Shapiro, direttore esecutivo dell’organizzazione no-profit per la trasparenza Property of the People. “Dato il disprezzo dell’amministrazione Trump anche per la trasparenza di base, la necessità di tali strumenti è urgente”, ha aggiunto Shapiro.

La co-fondatrice e giornalista di DDoSecrets, Emma Best, ha affermato che i dati esposti della Sicurezza Interna saranno un “catalizzatore per indagini, potenziando giornalisti, inchieste congressuali, sfide legali, azioni della comunità e richieste ai sensi del Freedom of Information Act”.