Хакер вскрыл Минбезопасности США и слил 40 тысяч его сотрудников

Хакер под ником Department of Peace выложил в сеть персональные данные больше чем 40 тысяч сотрудников Министерства внутренней безопасности США (DHS, ведомство, которому подчиняются пограничники, миграционная служба и киберзащита страны). Об этом 28 октября рассказал TechCrunch: издание сверило часть записей с известными сотрудниками и считает базу подлинной.

В утечке имена, должности, рабочие почты, мобильные номера и адреса офисов. Больше половины записей, около 21 тысячи, относятся к таможенно-пограничной службе CBP, ещё примерно 10 тысяч к миграционной службе ICE и её следственному отделу HSI, почти тысяча к агентству кибербезопасности CISA. Это примерно пятая часть всего штата министерства.

Самое неприятное для ведомства в том, откуда данные. Хакер утверждает, что достал их из системы единого входа Okta, через которую сотрудники и подрядчики заходят в центральную сеть министерства. Поэтому в базе видно не только кто где работает, но и к каким внутренним системам у кого есть доступ: Microsoft 365, Citrix, Adobe Acrobat и группы пользователей сервиса слежки Penlink, который умеет отслеживать местоположение мобильных устройств.

Судя по меткам времени, данные вынесли примерно в середине августа, и до сих пор непонятно, закрыта ли дыра и знает ли о ней само министерство. В Okta заявили, что их системы не взломаны. Базу передали журналистке и хакеру maia arson crimew, а та отдала копию DDoSecrets, некоммерческому архиву утечек. Для DHS это уже второй взлом за год от того же автора: раньше он вытащил тысячи контрактов министерства с частными компаниями.

Вердикт простой: один вход на всё удобен сотрудникам и ещё удобнее тому, кто этот вход вскрыл.