هکر با نفوذ به Okta به سیستم وزارت امنیت داخلی آمریکا نفوذ کرد و اطلاعات ۴۱ هزار کارمند ICE، CBP و CISA را افشا کرد

یک هکر با نفوذ به Okta — سرویس مدیریت هویت و دسترسی‌ای که وزارت امنیت داخلی آمریکا (DHS) برای تأیید هویت کارمندان خود استفاده می‌کند — سوابق شخصی بیش از ۴۱ هزار کارمند این وزارت را سرقت کرد؛ موضوعی که ابتدا توسط TechCrunch و Wired گزارش شد و توسط The Verge تأیید شد. داده‌های افشاشده شامل نام، عنوان شغلی، شماره تلفن، آدرس ایمیل، و محل دفتر برای حدود ۲۱ هزار کارمند گمرک و حفاظت مرزی (CBP) و نزدیک به ۷ هزار نفر از کارکنان سازمان مهاجرت و گمرک (ICE) است، همراه با کارکنان آژانس امنیت سایبری و امنیت زیرساخت (CISA)، خدمات شهروندی و مهاجرت آمریکا (USCIS)، و تحقیقات امنیت داخلی (HSI).

این نشت فراتر از حجم آن اهمیت دارد، به‌خاطر اینکه چه کسانی را هدف گرفته و چه چیز دیگری را فاش کرده است. DHS در یک سال گذشته به‌طور فعال در پی پوشاندن هویت مأموران CBP و ICE بوده — افسران در طول حملات مهاجرتی به‌طور خاص برای جلوگیری از شناسایی ماسک زده‌اند — در حالی که این آژانس در همان زمان منتقدان خود را در فضای آنلاین تعقیب کرده است. هکری با نام مستعار «وزارت صلح» این نشت را پاسخی مستقیم به همین نابرابری توصیف کرد: او به TechCrunch گفت: «آن‌ها اطلاعات ما را دارند، پس عادلانه است که ما هم اطلاعات آن‌ها را داشته باشیم». این نشت همچنین گزارش شده جزئیاتی درباره واحدهای DHS که به ابزارهای نظارتی دسترسی دارند، از جمله اپلیکیشن تشخیص چهرهٔ Mobile Fortify و PenLink، سیستمی که داده‌ها را از تلفن‌ها و خدمات آنلاین جمع‌آوری و تحلیل می‌کند، را فاش کرده است.

بر اساس گزارش‌ها، داده‌های سرقت‌شده به پژوهشگر امنیتی مایا آرسون کریمیو (maia arson crimew) منتقل شد، که آن را با Distributed Denial of Secrets (DDoSecrets)، یک سازمان غیرانتفاعی شفافیت، به اشتراک گذاشت و اکنون این سازمان این مواد را به‌عنوان مجموعه‌داده‌ای به نام «Icepick» میزبانی می‌کند. Bluesky از آن زمان شروع به مسدود کردن پیوندهای آرشیو DDoSecrets کرده و به Wired گفته است سیاست‌های سختگیرانه‌ای در برابر اشتراک‌گذاری اطلاعات شخصی مانند آدرس‌های ایمیل و شماره‌های تلفن بدون اجازه اجرا می‌کند، صرف‌نظر از اینکه نشت زیربنایی چقدر خبری باشد.

این حادثه دومین نشت بزرگ از نیروی کار اجرای قانون فدرال در هفته‌های اخیر است: این نشت پس از یک هک جداگانه رخ داده که اطلاعات کارمندان و متقاضیان شغل FBI را فاش کرده بود و در اکتبر توسط The Verge گزارش شد. هر دو نشت به همان خطر ساختاری اشاره می‌کنند — یک ارائه‌دهندهٔ هویت یا سیستم منابع انسانی به‌خطر افتاده می‌تواند کل فهرست نیروی کار یک آژانس را یکجا فاش کند، از جمله کارکنانی که ایمنی‌شان به ناشناس ماندن بستگی دارد. DHS فوراً به درخواست توضیح در مورد این نشت یا نحوهٔ رخ دادن نفوذ به Okta پاسخ نداد.