Hacker invade o DHS através do Okta e expõe 41.000 registros de funcionários do ICE, CBP e CISA

Um hacker roubou registros pessoais de mais de 41.000 funcionários do Departamento de Segurança Interna (DHS) ao invadir o Okta, o serviço de gerenciamento de identidade e acesso que o DHS usa para autenticar seu pessoal, segundo reportado primeiro pela TechCrunch e pela Wired e confirmado pelo The Verge. Os dados expostos incluem nomes, cargos, números de telefone, endereços de e-mail e localizações de escritório de aproximadamente 21.000 funcionários da Alfândega e Proteção de Fronteiras (CBP) e quase 7.000 do pessoal de Imigração e Fiscalização Aduaneira (ICE), além de pessoal da Agência de Segurança Cibernética e de Infraestrutura (CISA), dos Serviços de Cidadania e Imigração dos EUA (USCIS) e das Investigações de Segurança Interna (HSI).

O vazamento importa além de seu tamanho por quem ele atinge e pelo que mais revela. O DHS passou o último ano trabalhando ativamente para ocultar as identidades de agentes do CBP e do ICE — oficiais usaram máscaras durante operações de imigração especificamente para evitar identificação — enquanto a agência, simultaneamente, perseguia seus próprios críticos online. Um hacker usando o apelido «Department of Peace» apresentou o vazamento como uma resposta direta a essa assimetria: «Eles têm nossas informações, então é justo que tenhamos as deles», disse o hacker à TechCrunch. O vazamento também teria exposto detalhes sobre unidades do DHS com acesso a ferramentas de vigilância, incluindo o aplicativo de reconhecimento facial Mobile Fortify e o PenLink, um sistema que coleta e analisa dados de telefones e serviços online.

Segundo o relatado, os dados roubados foram passados para a pesquisadora de segurança maia arson crimew, que os compartilhou com a Distributed Denial of Secrets, uma organização de transparência sem fins lucrativos que agora hospeda o material como um conjunto de dados chamado «Icepick». A Bluesky começou desde então a bloquear links para o arquivo da DDoSecrets, dizendo à Wired que aplica políticas estritas contra o compartilhamento de informações pessoais como endereços de e-mail e números de telefone sem autorização, independentemente do valor jornalístico do vazamento subjacente.

O incidente é a segunda grande violação a afetar uma força de trabalho de aplicação da lei federal em semanas recentes: segue-se a um hackeamento distinto que expôs dados de funcionários e candidatos a emprego do FBI, reportado pelo The Verge em outubro. Ambas as violações apontam para o mesmo risco estrutural — um único provedor de identidade ou sistema de RH comprometido pode expor de uma vez toda a lista de pessoal de uma agência, incluindo funcionários cuja segurança depende do anonimato. O DHS não respondeu imediatamente a um pedido de comentário sobre a violação ou sobre como ocorreu o comprometimento do Okta.