Nomi, ruoli, email di lavoro, numeri di cellulare e sedi di oltre 40mila dipendenti del Department of Homeland Security sono stati pubblicati online dopo una violazione informatica avvenuta nei mesi scorsi. Tra i record figurano agenti di frontiera e dell’immigrazione, personale della cybersecurity e alti funzionari. L’hacker sostiene di aver ottenuto i dati da un sistema di autenticazione Okta utilizzato dal Dipartimento.
I dati personali di oltre 40mila dipendenti del Department of Homeland Security (DHS), il Dipartimento per la Sicurezza Interna degli Stati Uniti, sono stati pubblicati online dopo un attacco informatico avvenuto all’inizio dell’anno e finora non reso pubblico.
Lo riporta TechCrunch, che afferma di aver verificato una parte del materiale confrontando i nomi presenti nel database con quelli di dipendenti noti del Dipartimento. Tra le informazioni esposte figurano nomi, qualifiche professionali, indirizzi email di lavoro, numeri di cellulare e sedi degli uffici. I dati coinvolgono personale impegnato nei controlli alle frontiere e nell’immigrazione, addetti alla cybersecurity e funzionari di alto livello.
Oltre 21mila record riguardano la Customs and Border Protection
Più della metà dei dati, circa 21mila record, riguarda dipendenti della U.S. Customs and Border Protection (CBP), l’agenzia responsabile tra l’altro dei controlli negli aeroporti e negli altri punti di ingresso negli Stati Uniti.
Altri 10mila record sono associati a dipendenti dell’Immigration and Customs Enforcement (ICE) e della sua unità Homeland Security Investigations (HSI). Poco meno di mille appartengono invece a personale della Cybersecurity and Infrastructure Security Agency (CISA), l’agenzia federale statunitense per la difesa informatica.
Migliaia di altri record riguardano dipendenti della sede centrale del DHS e di altre strutture, tra cui U.S. Citizenship and Immigration Services e Federal Protective Service. Il DHS conta complessivamente circa 220mila dipendenti: i dati pubblicati corrisponderebbero quindi a circa un quinto della sua forza lavoro.
Il criminal hacker “Department of Peace“: dati ottenuti da un sistema Okta
A rivendicare l’operazione è un hacker che utilizza lo pseudonimo “Department of Peace”. Secondo quanto dichiarato dall’autore dell’attacco, le informazioni sarebbero state ottenute da un sistema Okta di Single Sign-On utilizzato dal DHS per consentire a dipendenti e collaboratori delle diverse agenzie di accedere alla rete centrale.
Il sistema conterrebbe anche informazioni IT associate agli account degli utenti, comprese indicazioni sui sistemi e sulle applicazioni interne a cui ciascun dipendente è autorizzato ad accedere. “Ogni record di directory sembrerebbe essere stato sottratto intorno alla metà di agosto”, scrive TechCrunch sulla base dei timestamp presenti nei dati.
Non è ancora chiaro quale vulnerabilità sia stata sfruttata né se il problema che ha consentito l’accesso sia stato risolto. Il DHS ha confermato di essere a conoscenza di una possibile violazione. “Stiamo lavorando attivamente per affrontare la situazione in modo rapido ed efficace”, ha dichiarato un portavoce a TechCrunch, aggiungendo che il Dipartimento considera seriamente tutte le minacce alla sicurezza dei propri dipendenti. Okta, dal canto suo, ha dichiarato di non avere evidenze di una compromissione dei propri sistemi o dei propri dati.
Dai dati emergono anche gli strumenti accessibili ai dipendenti
Il database non contiene soltanto informazioni identificative. I record mostrerebbero anche l’appartenenza dei dipendenti a diversi gruppi utente dell’Active Directory del Dipartimento, utilizzata per gestire l’accesso a strumenti interni, servizi e prodotti forniti da terze parti.
Gran parte dei dipendenti presenti nel dataset risultava associata, per esempio, a gruppi con accesso a Microsoft 365, oltre che ad Adobe Acrobat, Citrix e altri software utilizzati normalmente negli ambienti di lavoro. Circa 4.500 utenti, compresi agenti ICE e funzionari impegnati nelle deportazioni, figurano inoltre in un gruppo denominato “Headspace_users”.
Headspace aveva avuto in passato un contratto federale da 82.500 dollari con ICE per fornire software dedicato alla salute mentale al personale dell’unità Enforcement and Removal Operations. Il contratto si è concluso nel 2023 e la società ha precisato di non fornire più servizi al DHS o a ICE da quell’anno.
Penlink, Mobile Fortify e gli altri strumenti
Nel database compaiono anche diversi gruppi collegati a Penlink, società che sviluppa tecnologie di sorveglianza e localizzazione.
Secondo TechCrunch, alcuni di questi gruppi includono poche persone negli uffici locali, mentre altri arrivano a comprendere più di 2mila utenti della divisione HSI di ICE. Uno dei gruppi fa riferimento specificamente a Penlink PLX, strumento che, secondo la società, può essere utilizzato per acquisire e analizzare informazioni in tempo reale provenienti da telefonate, messaggi, attività web e social media.
Un altro gruppo comprende più di 200 utenti della CBP associati a Mobile Fortify, un’applicazione di riconoscimento facciale utilizzata da CBP e ICE per identificare persone e verificarne informazioni e status migratorio.
Nel dataset compaiono inoltre gruppi associati all’accesso a ChatGPT, comprendenti anche funzionari senior del DHS, e altri collegati alle indagini sui gruppi di hacker sostenuti dalla Cina conosciuti come Salt Typhoon e Volt Typhoon.
Il valore dei dati per le richieste di accesso agli atti
Secondo organizzazioni e ricercatori citati da TechCrunch, il database potrebbe essere utilizzato anche per individuare funzionari e indirizzi utili nelle richieste di accesso ai documenti pubblici attraverso il Freedom of Information Act.
Ryan Shapiro, direttore esecutivo dell’organizzazione Property of the People, ha sottolineato che indirizzi email e numeri di telefono possono essere strumenti importanti per rendere più precise le richieste FOIA. Resta ora da chiarire come sia avvenuto esattamente l’accesso ai sistemi del DHS, quale sia stata l’effettiva portata della compromissione e se gli aggressori abbiano ottenuto altre informazioni oltre a quelle già rese pubbliche.
