Mercoledì è apparso online un database con le informazioni di oltre 41.000 dipendenti e collaboratori del Dipartimento per la Sicurezza Interna degli Stati Uniti (DHS). Il dataset, denominato Icepick, include nomi, qualifiche, numeri di telefono, indirizzi e-mail di lavoro e sedi degli uffici; collega inoltre parte del personale a gruppi interni e strumenti che possono essere utilizzati per la sorveglianza.
Distributed Denial of Secrets (DDoSecrets), un'organizzazione senza scopo di lucro che pubblica dataset sottratti, ha ospitato il file il 28 ottobre. Il gruppo hacktivista Department of Peace ha dichiarato di aver ottenuto i registri da un sistema di single sign-on Okta utilizzato dal DHS. La fuga di dati riguarda il personale di diverse agenzie, tra cui Customs and Border Protection (CBP), Immigration and Customs Enforcement (ICE), Cybersecurity and Infrastructure Security Agency (CISA) e U.S. Citizenship and Immigration Services (USCIS).
“Hanno le nostre informazioni, quindi è giusto che noi abbiamo le loro.”
— Department of Peace
Cosa emerge dai registri
Secondo TechCrunch, circa 21.000 registri riguardano dipendenti del CBP. Questa agenzia opera negli aeroporti e in altri punti di ingresso nel Paese. La stessa testata conta circa 10.000 registri associati all'ICE e alla sua unità Homeland Security Investigations (HSI), e poco meno di 1.000 appartenenti alla CISA. Sono presenti anche dati relativi al personale della sede centrale del DHS e di altre agenzie, tra cui il Federal Protective Service.
The Verge, citando TechCrunch e WIRED, distingue i dati dell'ICE da quelli dell'HSI: indica che circa 7.000 riguardano dipendenti dell'ICE e conferma la presenza di registri dell'HSI. Le cifre descrivono categorie diverse, quindi non è opportuno considerarle conteggi direttamente equivalenti. TechCrunch afferma che le marche temporali dei registri fanno pensare a un'estrazione avvenuta verso la metà di agosto. La testata ha verificato una parte dei dati confrontando i nomi con una copia del database disponibile offline; stima che il volume sottratto equivalga a circa un quinto del personale del DHS.
Le informazioni non si limitano a elenchi di contatti. I registri includono le appartenenze a gruppi di utenti della directory active del dipartimento, che gestisce l'accesso a strumenti e servizi interni. TechCrunch ha individuato gruppi legati a Microsoft 365, Adobe Acrobat e Citrix, oltre ad altri che permettono di identificare possibili accessi a tecnologie specifiche.
Tra questi figurano gruppi associati a Penlink, un'azienda i cui prodotti possono raccogliere e analizzare dati provenienti da telefoni e servizi online. Alcuni gruppi includono oltre 2.000 utenti dell'HSI. Compaiono inoltre oltre 200 utenti del CBP collegati a Mobile Fortify, un'applicazione di riconoscimento facciale utilizzata dagli agenti del CBP e dell'ICE per identificare le persone e verificarne le informazioni e lo status migratorio. I registri menzionano anche gruppi legati a ChatGPT e alle indagini sui gruppi di cyberattacco Salt Typhoon e Volt Typhoon.
Un altro gruppo, Headspace_users, riunisce circa 4.500 utenti, tra cui agenti dell'ICE e funzionari addetti alle espulsioni. TechCrunch riferisce che Headspace aveva un contratto federale da 82.500 dollari con l'ICE, conclusosi nel 2023, per finanziare software per la salute mentale destinato ai dipendenti della sua unità addetta alle espulsioni. L'azienda ha dichiarato alla testata di non fornire servizi al DHS né all'ICE dal 2023.
La risposta ufficiale e l'accesso a Icepick
Un portavoce del DHS ha comunicato a TechCrunch che l'agenzia è a conoscenza di una possibile violazione e sta lavorando per gestire la situazione e proteggere i propri dipendenti e agenti. Ha aggiunto che fornirà ulteriori informazioni non appena saranno disponibili. Okta, dal canto suo, ha dichiarato di essere al corrente della notizia e di non avere prove che i propri sistemi o dati siano stati compromessi.
DDoSecrets ha ricevuto una copia dei dati dalla giornalista e ricercatrice di sicurezza informatica maia arson crimew, che ha anche creato uno strumento online per cercare nei registri. DDoSecrets descrive Icepick come un database interno del DHS ottenuto da un servizio di accesso Okta. L'organizzazione afferma che lo strumento consente di cercare e filtrare i dati originali; la pubblicazione include opzioni di download e torrent.
La diffusione ha suscitato anche una reazione da parte di Bluesky. WIRED ha riferito che il social network blocca sul proprio sito e nella propria app i link al file e allo strumento di ricerca, contrassegnandoli come dannosi. Bluesky ha spiegato che i dati contengono informazioni di contatto personali condivise senza autorizzazione e che ha bloccato i link, anziché rimuovere singoli post, per non limitare il dibattito pubblico né l'accesso alla copertura giornalistica. Il social network non ha risposto a WIRED quando gli è stato chiesto se il blocco fosse automatico o se fosse stato richiesto da un'agenzia governativa.
Il DHS ha dichiarato che aggiornerà il pubblico quando saranno disponibili ulteriori informazioni. Per ora, il perimetro noto comprende agenzie per l'immigrazione, personale addetto alla sicurezza informatica e funzionari del dipartimento; resta da chiarire se l'accesso all'origine della fuga di dati sia già stato chiuso.
Fonti: The Verge, TechCrunch, WIRED, Distributed Denial of Secrets
