Un hacker s'infiltre dans le DHS via Okta et expose 41 000 dossiers d'employés d'ICE, CBP et CISA

Un hacker a volé des dossiers personnels de plus de 41 000 employés du département de la Sécurité intérieure (DHS) en s'infiltrant dans Okta, le service de gestion des identités et des accès que le DHS utilise pour authentifier son personnel, comme l'ont rapporté en premier TechCrunch et Wired, confirmé par The Verge. Les données exposées comprennent les noms, intitulés de poste, numéros de téléphone, adresses e-mail et emplacements de bureau d'environ 21 000 employés des douanes et de la protection des frontières (CBP) et de près de 7 000 membres du personnel de l'immigration et des douanes (ICE), ainsi que du personnel de l'agence de cybersécurité et de sécurité des infrastructures (CISA), des services de citoyenneté et d'immigration des États-Unis (USCIS) et des enquêtes de sécurité intérieure (HSI).

Cette fuite est importante au-delà de son ampleur en raison de qui elle cible et de ce qu'elle révèle par ailleurs. Le DHS a passé l'année écoulée à travailler activement pour dissimuler l'identité des agents du CBP et de l'ICE — les officiers ont porté des masques durant les raids d'immigration spécifiquement pour éviter d'être identifiés — tandis que l'agence a simultanément poursuivi ses propres détracteurs en ligne. Un hacker utilisant le pseudonyme « Department of Peace » a présenté cette fuite comme une réponse directe à cette asymétrie : « Ils ont nos informations, alors il n'est que juste que nous ayons les leurs », a déclaré le hacker à TechCrunch. La fuite aurait également exposé des détails sur les unités du DHS ayant accès à des outils de surveillance, notamment l'application de reconnaissance faciale Mobile Fortify et PenLink, un système qui collecte et analyse des données issues de téléphones et de services en ligne.

Selon les informations rapportées, les données volées ont été transmises à la chercheuse en sécurité maia arson crimew, qui les a partagées avec Distributed Denial of Secrets, une organisation à but non lucratif de transparence qui héberge désormais le matériel sous forme d'un ensemble de données appelé « Icepick ». Bluesky a depuis commencé à bloquer les liens vers l'archive de DDoSecrets, déclarant à Wired qu'elle applique des politiques strictes contre le partage d'informations personnelles telles que des adresses e-mail et des numéros de téléphone sans autorisation, indépendamment de la valeur informative de la fuite sous-jacente.

Cet incident est la deuxième faille majeure touchant une main-d'œuvre d'application de la loi fédérale en quelques semaines récentes : il fait suite à un piratage distinct ayant exposé des données d'employés et de candidats du FBI, rapporté par The Verge en octobre. Les deux failles pointent vers le même risque structurel — un seul fournisseur d'identité ou système RH compromis peut exposer d'un coup l'intégralité de l'effectif d'une agence, y compris du personnel dont la sécurité dépend de l'anonymat. Le DHS n'a pas immédiatement répondu à une demande de commentaire sur la faille ni sur la manière dont la compromission d'Okta s'est produite.