Un hacker vulnera el DHS a través de Okta y expone 41.000 registros de empleados de ICE, CBP y CISA

Un hacker robó registros personales de más de 41.000 empleados del Departamento de Seguridad Nacional (DHS) al vulnerar Okta, el servicio de gestión de identidad y acceso que el DHS usa para autenticar a su personal, según informaron primero TechCrunch y Wired y confirmó The Verge. Los datos expuestos incluyen nombres, cargos, números de teléfono, direcciones de correo electrónico y ubicaciones de oficina de aproximadamente 21.000 empleados de la Oficina de Aduanas y Protección de Fronteras (CBP) y casi 7.000 del personal de Inmigración y Control de Aduanas (ICE), junto con personal de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), los Servicios de Ciudadanía e Inmigración de EE. UU. (USCIS) y las Investigaciones de Seguridad Nacional (HSI).

La filtración importa más allá de su tamaño por a quién apunta y qué más revela. El DHS ha pasado el último año trabajando activamente para ocultar las identidades de los agentes de CBP e ICE —los oficiales han usado máscaras durante las redadas de inmigración específicamente para evitar ser identificados— mientras que la agencia, al mismo tiempo, ha perseguido a sus propios críticos en línea. Un hacker que usa el apodo «Department of Peace» presentó la filtración como una respuesta directa a esa asimetría: «Ellos tienen nuestra información, así que es justo que nosotros tengamos la suya», dijo el hacker a TechCrunch. La filtración también habría expuesto detalles sobre unidades del DHS con acceso a herramientas de vigilancia, incluida la aplicación de reconocimiento facial Mobile Fortify y PenLink, un sistema que recopila y analiza datos de teléfonos y servicios en línea.

Según lo informado, los datos robados fueron entregados a la investigadora de seguridad maia arson crimew, quien los compartió con Distributed Denial of Secrets, una organización de transparencia sin fines de lucro que ahora alberga el material como un conjunto de datos llamado «Icepick». Bluesky ha comenzado desde entonces a bloquear los enlaces al archivo de DDoSecrets, diciéndole a Wired que aplica políticas estrictas contra compartir información personal como direcciones de correo electrónico y números de teléfono sin autorización, sin importar el valor informativo de la filtración subyacente.

El incidente es la segunda brecha importante que afecta a una fuerza laboral de aplicación de la ley federal en semanas recientes: sigue a un hackeo distinto que expuso datos de empleados y solicitantes de empleo del FBI, reportado por The Verge en octubre. Ambas brechas señalan el mismo riesgo estructural: un único proveedor de identidad o sistema de recursos humanos comprometido puede exponer de una sola vez toda la lista de personal de una agencia, incluido el personal cuya seguridad depende de permanecer anónimo. El DHS no respondió de inmediato a una solicitud de comentarios sobre la brecha ni sobre cómo ocurrió el compromiso de Okta.