DHS: Icepick espone 41.000 dipendenti e i loro gruppi di accesso

Mercoledì 28 ottobre il collettivo per la trasparenza Distributed Denial of Secrets (DDoSecrets) ha pubblicato Icepick, un archivio con i dati di oltre 41.000 dipendenti e collaboratori esterni del Department of Homeland Security (DHS) statunitense e delle sue agenzie. Il materiale viene da un gruppo hacktivista che si fa chiamare Department of Peace e che sostiene di averlo preso dal sistema di single sign-on Okta usato dal DHS. CyberScoop, TechCrunch e Wired hanno verificato a campione l’autenticità dei dati.

Per chi gestisce identità e accessi il punto non sono solo i contatti: l’archivio contiene anche l’appartenenza ai gruppi di directory, cioè la mappa di chi può accedere a cosa.

Cosa è successo

• Il Department of Peace ha consegnato i dati alla giornalista e hacker maia arson crimew, che ne ha condiviso una copia con DDoSecrets e ha creato un sito per consultarli (TechCrunch, Wired).
• Secondo Wired i record sono stati aggiornati l’ultima volta il 19 agosto 2026; TechCrunch, dalle date dei singoli record, colloca l’esfiltrazione verso metà agosto. La violazione non era stata resa pubblica prima.
• Il gruppo presenta l’azione come ritorsione contro le politiche del DHS sull’immigrazione. Nella nota allegata ai file scrive: «Loro hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro».
• Il DHS ha dichiarato di essere «a conoscenza di una possibile violazione» e di lavorare per risolverla. Okta dice di essere a conoscenza della notizia e di non avere evidenze di compromissione dei propri dati o sistemi.
• Non si sa come sia avvenuto l’accesso né se il punto debole sia stato chiuso: il gruppo non ha risposto alle domande di TechCrunch.

Secondo Wired, Bluesky blocca i link all’archivio e al sito di ricerca, segnalandoli come «malevoli», perché contengono contatti condivisi senza autorizzazione.

Dettagli tecnici

Contenuto dei record. Nome, qualifica, email e cellulare di lavoro, sede dell’ufficio e, nella maggior parte dei casi, il responsabile diretto: secondo Wired basta per ricostruire le linee gerarchiche dell’intero dipartimento. TechCrunch riferisce che i dati comprendono anche informazioni IT e di accesso degli account, con i sistemi e le app interne a cui ogni utente è abilitato.

Gruppi di autorizzazione. Il dataset riporta l’appartenenza ai gruppi di Active Directory: Wired ne conta oltre 55.000. I nomi dei gruppi rivelano le applicazioni in uso (Microsoft 365, Citrix, Adobe Acrobat, strumenti di IA generativa, app di messaggistica e di riconoscimento facciale, piattaforme di analisi investigativa) e, secondo Wired, anche riferimenti a operazioni sotto copertura e a programmi di intercettazione. TechCrunch segnala gruppi legati alle indagini su Salt Typhoon e Volt Typhoon. CyberScoop nota che alcuni gruppi risalgono ad anni fa (pianificazione COVID-19, eventi interni del 2023): il dataset include quindi anche gruppi storici.

Distribuzione. Più della metà dei record riguarda la U.S. Customs and Border Protection (circa 21.000 secondo TechCrunch), circa 10.000 l’ICE, 6.200 l’USCIS (Wired) e quasi 1.000 la CISA, per oltre metà collaboratori esterni secondo Wired. Le fonti divergono sulla quota della forza lavoro coperta: un quinto per TechCrunch, un settimo per Wired.

MITRE ATT&CK (mappatura indicativa: il vettore d’ingresso non è noto): i dati corrispondono a ciò che un attaccante raccoglie con T1087 (Account Discovery) e T1069 (Permission Groups Discovery); a valle facilitano T1589 (Gather Victim Identity Information), T1591 (Gather Victim Org Information) e T1656 (Impersonation).

Perché conta

Un analista di Recorded Future, sentito da Wired, osserva che questi dati, se autentici e aggiornati, sono una risorsa di intelligence molto preziosa per chi vuole penetrare il DHS: incrociati con altre fughe di dati e con dati commerciali permettono di individuare persone vulnerabili, preparare impersonificazioni credibili o compromettere indagini in corso.

La stessa logica vale per qualsiasi azienda: un’esportazione dell’identity provider con ruoli, responsabili e gruppi è la base ideale per spear phishing, chiamate al supporto IT per reimpostare password e MFA, e frodi in cui l’attaccante si spaccia per un responsabile.

Impatto per le aziende europee e italiane

• Chi lavora con le agenzie del DHS (fornitori, partner, compagnie aeree e aziende di logistica in contatto con la CBP) deve aspettarsi messaggi che usano nomi, ruoli e numeri reali.
• L’identity provider è un punto unico: Okta e servizi analoghi sono diffusi anche in Europa. La NIS2 (art. 21) chiede misure di controllo degli accessi e l’autenticazione a più fattori; il recepimento italiano (D.Lgs. 138/2024) comprende anche pubbliche amministrazioni.
• GDPR: anche i contatti di lavoro dei dipendenti sono dati personali; un’esfiltrazione della directory va valutata per la notifica al Garante entro 72 ore.

Cosa fare subito

1. Controlla i log dell’identity provider: letture massive di utenti e gruppi via API, nuovi token API, assegnazioni di ruoli amministrativi, accessi da dispositivi o reti insoliti, almeno negli ultimi 90 giorni.
2. Riduci i privilegi di token e app di servizio: niente token amministrativi di lunga durata, permessi in sola lettura limitati a ciò che serve, rotazione regolare.
3. MFA resistente al phishing (FIDO2/WebAuthn) per amministratori, supporto IT e utenti privilegiati.
4. Procedure del supporto IT: reimpostazione di password e MFA solo dopo una verifica fuori banda, mai sulla base di nome e ruolo dichiarati.
5. Nomi dei gruppi: il caso mostra che i nomi delle autorizzazioni raccontano progetti e attività. Per i gruppi sensibili usa codici opachi e documentane il significato altrove.
6. Pulizia della directory: elimina gruppi e account obsoleti; il dataset del DHS conteneva gruppi di anni fa.
7. Prepara il personale: se la tua directory finisce online, avvisa subito i dipendenti e alza l’attenzione su email e telefonate che citano dati interni.

Come aiuta ARXDOME

ARX Sentry raccoglie gli eventi di computer, server e firewall e, nelle pagine dedicate alle identità, mette in evidenza accessi privilegiati, raffiche di tentativi, accessi notturni e modifiche agli account. ARX Expose segnala gli account aziendali coinvolti in violazioni e i domini simili al tuo registrati da altri, spesso usati nelle impersonificazioni. Con ARX Horizon puoi interrogare dal portale le fonti di threat intelligence sugli indicatori sospetti.

Ultimo aggiornamento: 29 ottobre 2026