Wyciek danych ponad 41 tys. pracowników DHS, w tym ICE i CBP
Haker podpisujący się jako „Department of Peace” wykradł dane ponad 41 tysięcy pracowników amerykańskiego Departamentu Bezpieczeństwa Wewnętrznego (DHS). W zbiorze są imiona i nazwiska, stanowiska, numery telefonów, adresy e-mail oraz lokalizacje biur. Sprawę opisały TechCrunch i Wired.
Co wyciekło i skąd
Według TechCrunch atakujący dostał się do informacji przez Okta, czyli usługę do zarządzania tożsamością i dostępem, z której korzysta DHS. Najwięcej rekordów, około 21 tysięcy, dotyczy pracowników Urzędu Celnego i Ochrony Granic (CBP). Prawie 7 tysięcy należy do osób z Urzędu Imigracji i Ceł (ICE). W bazie są też dane z agencji CISA, urzędu USCIS oraz Homeland Security Investigations (HSI).
Wyciek pokazuje również, które jednostki DHS mają dostęp do narzędzi inwigilacyjnych. Wymieniono m.in. aplikację do rozpoznawania twarzy Mobile Fortify oraz PenLink, system pozwalający zbierać i analizować dane z telefonów i usług internetowych.
Motywy i dalsza droga danych
DHS starało się utrzymać w tajemnicy tożsamość funkcjonariuszy CBP i ICE, którzy prowadzili w USA naloty wymierzone w imigrantów, a także namierzali internetowych krytyków. Autor ataku tłumaczył swoje działanie w rozmowie z TechCrunch krótko: „Mają nasze dane, więc to uczciwe, że my mamy ich”.
Skradzione informacje miały trafić do maia arson crimew, osoby zajmującej się badaniem cyberbezpieczeństwa. Stamtąd przekazano je organizacji DDoSecrets, która jest non-profit i obecnie udostępnia zbiór pod nazwą „Icepick”. To kolejny taki incydent w krótkim czasie: kilka tygodni wcześniej hakerzy wykradli dane pracowników FBI i kandydatów do pracy w tej służbie.
DHS nie odpowiedziało od razu na pytania The Verge.
Co to oznacza dla czytelnika w Polsce
Sprawa dotyczy amerykańskich służb i na podstawie dostępnych informacji nie wynika z niej, by wyciekły dane zwykłych obywateli, także z Polski. Mowa o rekordach pracowników: ich kontaktach i miejscu zatrudnienia. Dla samych funkcjonariuszy i ich rodzin takie dane mogą jednak mieć poważne konsekwencje, bo ułatwiają ustalenie tożsamości i kontakt z konkretnymi osobami.
Z perspektywy europejskiej ciekawsze są dwa wątki:
- Bezpieczeństwo systemów tożsamości. Usługi logowania i zarządzania dostępem są łakomym celem, bo przejęcie dostępu do nich może otwierać drogę do wielu innych zasobów. Z podobnych rozwiązań korzystają też firmy i instytucje w Europie, więc zabezpieczenia takie jak wieloskładnikowe uwierzytelnianie czy przegląd uprawnień mają realne znaczenie.
- Debata o nadzorze. Informacje o narzędziach takich jak rozpoznawanie twarzy czy analiza danych z telefonów wpisują się w dyskusję o granicach inwigilacji, która toczy się również w UE, choć na gruncie innych przepisów, m.in. RODO i unijnych regulacji dotyczących sztucznej inteligencji.
Na razie znamy relację medialną i słowa samego atakującego. DHS nie odniosło się publicznie do zarzutów, więc pełna skala incydentu i sposób, w jaki doszło do włamania, mogą jeszcze zostać doprecyzowane.
Źródło: The Verge – „A hacker stole more than 40,000 DHS employee records”