DHS: Icepick expune 41.000 de angajați și grupurile lor de acces

Miercuri, 28 octombrie, colectivul pentru transparență Distributed Denial of Secrets (DDoSecrets) a publicat Icepick, o arhivă cu datele a peste 41.000 de angajați și colaboratori externi ai Department of Homeland Security (DHS) din Statele Unite și ai agențiilor sale. Materialul provine de la un grup hacktivist care își spune Department of Peace și care susține că l-a obținut din sistemul de single sign-on Okta folosit de DHS. CyberScoop, TechCrunch și Wired au verificat prin sondaj autenticitatea datelor.

Pentru cine gestionează identitățile și accesele, problema nu sunt doar contactele: arhiva conține și apartenența la grupurile din director, adică harta a cine poate accesa ce.

Ce s-a întâmplat

• Department of Peace a predat datele jurnalistei și hackeriței maia arson crimew, care a împărtășit o copie cu DDoSecrets și a creat un site pentru consultarea lor (TechCrunch, Wired).
• Potrivit Wired, înregistrările au fost actualizate ultima dată pe 19 august 2026; TechCrunch, pe baza datelor fiecărei înregistrări, plasează exfiltrarea spre mijlocul lui august. Breșa nu fusese făcută publică înainte.
• Grupul prezintă acțiunea ca pe o ripostă la politicile DHS privind imigrația. În nota lăsată împreună cu fișierele scrie: „Ei au informațiile noastre, așa că e corect să le avem și noi pe ale lor”.
• DHS a declarat că „are cunoștință de o posibilă breșă” și că lucrează pentru a o rezolva. Okta spune că știe de această informație și că nu are dovezi că datele sau sistemele sale au fost compromise.
• Nu se știe cum s-a obținut accesul și nici dacă punctul slab a fost închis: grupul nu a răspuns la întrebările TechCrunch.

Potrivit Wired, Bluesky blochează linkurile către arhivă și către site-ul de căutare, marcându-le drept „malițioase”, pentru că ele conțin date de contact distribuite fără autorizare.

Detalii tehnice

Conținutul înregistrărilor. Nume, funcție, e-mail și telefon mobil de serviciu, sediul biroului și, în majoritatea cazurilor, superiorul direct: potrivit Wired, este suficient pentru a reconstitui liniile ierarhice ale întregului departament. TechCrunch arată că datele includ și informații IT și de autentificare ale conturilor, cu sistemele și aplicațiile interne la care are acces fiecare utilizator.

Grupuri de permisiuni. Setul de date conține apartenența la grupurile Active Directory: Wired numără peste 55.000. Numele grupurilor dezvăluie aplicațiile folosite (Microsoft 365, Citrix, Adobe Acrobat, instrumente de IA generativă, aplicații de mesagerie și de recunoaștere facială, platforme de analiză investigativă) și, potrivit Wired, și referiri la operațiuni sub acoperire și la programe de interceptare. TechCrunch semnalează grupuri legate de investigațiile privind Salt Typhoon și Volt Typhoon. CyberScoop observă că unele grupuri datează de ani de zile (planificarea COVID-19, evenimente interne din 2023): setul de date include deci și grupuri vechi.

Distribuție. Mai mult de jumătate din înregistrări privesc U.S. Customs and Border Protection (circa 21.000 potrivit TechCrunch), circa 10.000 ICE, 6.200 USCIS (Wired) și aproape 1.000 CISA, peste jumătate dintre ei colaboratori externi potrivit Wired. Sursele diferă în privința ponderii din personal: o cincime pentru TechCrunch, o șeptime pentru Wired.

MITRE ATT&CK (corespondență orientativă: vectorul de intrare nu este cunoscut): datele corespund cu ce colectează un atacator prin T1087 (Account Discovery) și T1069 (Permission Groups Discovery); ulterior facilitează T1589 (Gather Victim Identity Information), T1591 (Gather Victim Org Information) și T1656 (Impersonation).

De ce contează

Un analist Recorded Future citat de Wired observă că aceste date, dacă sunt autentice și actuale, sunt o resursă de intelligence foarte valoroasă pentru cine vrea să pătrundă în DHS: corelate cu alte scurgeri și cu date comerciale, permit identificarea persoanelor vulnerabile, pregătirea unor uzurpări de identitate credibile sau compromiterea investigațiilor în curs.

Aceeași logică se aplică oricărei companii: un export din furnizorul de identitate cu roluri, superiori și grupuri este baza ideală pentru spear phishing, apeluri către suportul IT pentru resetarea parolelor și a MFA și fraude în care atacatorul se dă drept un manager.

Impactul pentru companiile europene și italiene

• Cine lucrează cu agențiile DHS (furnizori, parteneri, companii aeriene și de logistică în contact cu CBP) trebuie să se aștepte la mesaje care folosesc nume, funcții și numere reale.
• Furnizorul de identitate este un punct unic: Okta și servicii similare sunt răspândite și în Europa. NIS2 (art. 21) cere măsuri de control al accesului și autentificare multifactor; transpunerea italiană (D.Lgs. 138/2024) include și administrațiile publice.
• GDPR: și datele de contact de serviciu ale angajaților sunt date personale; o exfiltrare a directorului trebuie evaluată pentru notificarea autorității de supraveghere în 72 de ore.

Ce faci acum

1. Verifică jurnalele furnizorului de identitate: citiri masive de utilizatori și grupuri prin API, tokenuri API noi, atribuiri de roluri administrative, autentificări de pe dispozitive sau rețele neobișnuite, cel puțin pentru ultimele 90 de zile.
2. Redu privilegiile tokenurilor și ale aplicațiilor de serviciu: fără tokenuri administrative de lungă durată, permisiuni doar de citire limitate la strictul necesar, rotație periodică.
3. MFA rezistent la phishing (FIDO2/WebAuthn) pentru administratori, suportul IT și utilizatorii privilegiați.
4. Procedurile suportului IT: resetează parolele și MFA doar după o verificare pe alt canal, niciodată doar pe baza numelui și a funcției declarate.
5. Numele grupurilor: cazul arată că numele permisiunilor dezvăluie proiecte și activități. Pentru grupurile sensibile folosește coduri opace și documentează-le semnificația în altă parte.
6. Curățenia în director: elimină grupurile și conturile învechite; setul de date DHS conținea grupuri de acum câțiva ani.
7. Pregătește-ți personalul: dacă directorul tău ajunge online, anunță imediat angajații și crește atenția la e-mailurile și apelurile care citează date interne.

Cum te ajută ARXDOME

ARX Sentry colectează evenimentele de pe computere, servere și firewalluri și, în paginile dedicate identităților, scoate în evidență autentificările privilegiate, rafalele de încercări, autentificările de noapte și modificările conturilor. ARX Expose semnalează conturile companiei implicate în breșe și domeniile asemănătoare cu al tău înregistrate de alții, folosite adesea pentru uzurpare de identitate. Cu ARX Horizon poți interoga din portal sursele de threat intelligence despre indicatorii suspecți.

Ultima actualizare: 29 octombrie 2026