Hacker dringt über Okta ins DHS ein und legt 41.000 Mitarbeiterdatensätze von ICE, CBP und CISA offen

Ein Hacker stahl persönliche Datensätze von mehr als 41.000 Mitarbeitern des US-Heimatschutzministeriums (DHS), indem er in Okta eindrang, den Identitäts- und Zugriffsverwaltungsdienst, den das DHS zur Authentifizierung seines Personals nutzt — wie zuerst TechCrunch und Wired berichteten und The Verge bestätigte. Die offengelegten Daten umfassen Namen, Berufsbezeichnungen, Telefonnummern, E-Mail-Adressen und Bürostandorte von rund 21.000 Mitarbeitern des Zoll- und Grenzschutzes (CBP) und fast 7.000 Mitarbeitern der Einwanderungs- und Zollbehörde (ICE), zusammen mit Personal der Cybersicherheits- und Infrastruktursicherheitsbehörde (CISA), des US-Einwanderungs- und Staatsbürgerschaftsdienstes (USCIS) und der Heimatschutzermittlungen (HSI).

Das Leck ist über seine Größe hinaus bedeutsam, weil es zeigt, wen es betrifft und was es sonst noch offenbart. Das DHS hat das vergangene Jahr aktiv damit verbracht, die Identitäten von CBP- und ICE-Agenten zu verschleiern — Beamte trugen während Einwanderungsrazzien Masken, um speziell eine Identifizierung zu vermeiden —, während die Behörde gleichzeitig gegen ihre eigenen Kritiker online vorging. Ein Hacker mit dem Pseudonym «Department of Peace» stellte das Leck als direkte Antwort auf diese Asymmetrie dar: «Sie haben unsere Informationen, also ist es nur fair, dass wir ihre haben», sagte der Hacker gegenüber TechCrunch. Berichten zufolge legte das Leck auch Details über DHS-Einheiten mit Zugriff auf Überwachungstools offen, darunter die Gesichtserkennungs-App Mobile Fortify und PenLink, ein System, das Daten von Telefonen und Online-Diensten sammelt und analysiert.

Den Berichten nach wurden die gestohlenen Daten an die Sicherheitsforscherin maia arson crimew weitergegeben, die sie mit Distributed Denial of Secrets teilte, einer gemeinnützigen Transparenzorganisation, die das Material nun als Datensatz namens «Icepick» bereitstellt. Bluesky hat seitdem begonnen, Links zum DDoSecrets-Archiv zu blockieren, und erklärte gegenüber Wired, dass strikte Richtlinien gegen das Teilen persönlicher Informationen wie E-Mail-Adressen und Telefonnummern ohne Genehmigung gelten — unabhängig vom Nachrichtenwert des zugrunde liegenden Lecks.

Der Vorfall ist die zweite größere Sicherheitsverletzung bei einer föderalen Strafverfolgungsbehörde innerhalb weniger Wochen: Er folgt auf einen separaten Hack, der Daten von FBI-Mitarbeitern und Jobbewerbern offenlegte, über den The Verge im Oktober berichtete. Beide Sicherheitsverletzungen verweisen auf dasselbe strukturelle Risiko — ein einziger kompromittierter Identitätsanbieter oder ein kompromittiertes HR-System kann die gesamte Personalliste einer Behörde auf einmal offenlegen, einschließlich Personal, dessen Sicherheit von Anonymität abhängt. Das DHS reagierte nicht sofort auf eine Bitte um Stellungnahme zur Sicherheitsverletzung oder dazu, wie die Kompromittierung von Okta erfolgte.