Wyciek danych DHS trafia do sieci

Ponad 41 tys. rekordów pracowników DHS w sieci

Publicznie dostępna baza danych ujawniła informacje o ponad 41 tysiącach pracowników i kontraktorów Departamentu Bezpieczeństwa Krajowego USA (DHS). Według przekazanych informacji zestaw danych miał zostać zdobyty przez haktywistów po włamaniu do usługi tożsamości używanej przez resort.

Do publikacji danych doszło za pośrednictwem inicjatywy związanej z ujawnianiem wycieków, a sam zbiór obejmował także osoby związane z Cybersecurity and Infrastructure Security Agency (CISA) oraz dawnych pracowników instytucji federalnych. Część wpisów sięgała kilku lat wstecz i zawierała odniesienia do planowania działań związanych z COVID-19 oraz wewnętrznych spotkań z 2023 roku.

Co znalazło się w bazie

Zbiór, nazwany Icepick, miał zawierać m.in.:

imiona i nazwiska pracowników,
adresy e-mail,
numery telefonów,
informacje o rolach i jednostkach organizacyjnych,
dane pozwalające lepiej zrozumieć strukturę wewnętrzną DHS.

Wśród ujawnionych wpisów miały znajdować się także osoby odpowiedzialne za nadzór nad operacjami niejawnymi, działania przeciwko sygnalistom oraz elementy programów deportacyjnych i wydaleń.

Baza zniknęła, ale nie na długo

Po publikacji pojawiły się próby ograniczenia dostępu do archiwum. Firma działająca w imieniu DHS zażądała usunięcia danych, jednak hostingowa platforma, która przechowywała zbiór, odmówiła. W efekcie domena z bazą została na krótko wyłączona przez rejestratora, po czym archiwum wróciło pod innym adresem u innego rejestratora.

Równolegle serwis społecznościowy Bluesky blokował odsyłacze do archiwum, uznając, że zawiera ono dane kontaktowe udostępnione bez zgody zainteresowanych osób. Z czasem blokada miała zostać złagodzona po zmianie opisu linku.

DHS: reagujemy na potencjalny incydent

Samo DHS przyznało, że analizuje możliwy incydent i pracuje nad zabezpieczeniem swoich pracowników. Resort zapowiedział, że poda więcej informacji, gdy tylko będzie to możliwe.

Z kolei przedstawiciele firmy odpowiadającej za usunięcie danych argumentowali, że chodzi o informacje dotyczące osób pełniących funkcje publiczne, a nie prywatne dane zwykłych użytkowników internetu. DHS contractor z kolei twierdził, że nawet jeśli rekordy dotyczą pracy urzędników, to nadal są to dane osobowe, które mogą ułatwiać lokalizację konkretnych osób.

Dlaczego ten wyciek ma znaczenie

To nie pierwszy raz, gdy DHS mierzy się z podobnym problemem. W przeszłości resort notował już poważne incydenty bezpieczeństwa, które obejmowały dziesiątki lub setki tysięcy osób. Tym razem skala jest mniejsza niż w największych historycznych naruszeniach, ale zestaw danych ma szczególną wartość, bo pokazuje wewnętrzną strukturę jednej z najważniejszych amerykańskich instytucji bezpieczeństwa.

Dodatkowo taki materiał może być użyteczny dla osób zajmujących się transparentnością życia publicznego, w tym przy przygotowywaniu wniosków o dostęp do informacji. Z drugiej strony dostęp do imion, nazwisk, numerów telefonów i e-maili urzędników zwiększa ryzyko nadużyć, phishingu i prób targetowania konkretnych osób.

Szerszy kontekst

Według ujawnionych informacji dane miały pochodzić z usługi logowania jednokrotnego używanej w DHS. Firma, której przypisano ten komponent, stwierdziła jednak, że nie widzi oznak kompromitacji własnych systemów ani danych.

Sprawa pokazuje, jak duże znaczenie dla bezpieczeństwa instytucji publicznych mają dziś nie tylko same systemy, ale też cały ekosystem dostawców, integracji i usług tożsamości. Wystarczy jeden słabszy punkt, by wyciek objął tysiące rekordów i wywołał szerokie konsekwencje organizacyjne oraz polityczne.