Contexte de la fuite
Le 28 octobre 2026, le groupe d’activistes « Department of Peace » a publié plus de 40 000 dossiers du Department of Homeland Security (DHS). Les fichiers contiennent noms, numéros de téléphone, adresses, adresses e‑mail et, pour chaque agent, les noms de supérieurs et de subordonnés, rendant visible la chaîne de commandement. Parmi les enregistrements, 21 000 concernent le U.S. Customs and Border Protection, 10 000 l’Immigration and Customs Enforcement et environ 1 000 le Cybersecurity and Infrastructure Security Agency. Le jeu de données représente environ un cinquième des 220 000 employés du DHS.
Les données ont été transférées à Distributed Denial of Secrets (DDoSecrets), qui les a intégrées dans une base nommée Icepick. Le journaliste Ryan Ottignon et l’activiste suisse maia arson crimew ont créé un moteur de recherche public permettant de parcourir les dossiers. Le DHS a déclaré être « au courant d’une possible violation » et travaillerait à protéger les personnes concernées.
Mécanisme d’intrusion SSO
Le groupe revendique avoir « subverti le système d’authentification unique (SSO) du DHS ». Un SSO centralise l’accès aux applications internes via un jeton d’authentification. La subversion peut résulter d’une compromission de comptes à privilèges, d’une injection de scripts dans le flux d’authentification ou d’une usurpation de jetons (token replay). Aucun détail technique n’a été fourni, mais la nature du SSO implique que l’attaquant a pu extraire les identifiants de service ou les clés de chiffrement, puis interroger les API internes pour extraire les dossiers du personnel. La diffusion du jeu complet à DDoSecrets indique que les attaquants ont pu automatiser le processus de collecte, probablement via des scripts Python ou PowerShell capables de paginer les réponses d’API REST.
Le fait que le jeu de données inclue les relations hiérarchiques suggère que les requêtes ont ciblé des endpoints de gestion des ressources humaines, souvent moins surveillés que les systèmes de sécurité. L’absence de mention d’un CVE ou d’une faille logicielle connue laisse supposer une compromission d’identifiants plutôt qu’une vulnérabilité logicielle publique.
Analyse des impacts et limites
La divulgation de contacts personnels expose les agents à des menaces de harcèlement, d’intimidation ou d’attentats ciblés, surtout pour ceux engagés dans des opérations clandestines. La visibilité de la chaîne de commandement facilite la cartographie des structures décisionnelles, ce qui peut être exploité par des acteurs étatiques ou criminels pour planifier des attaques de désinformation ou de sabotage. En revanche, le jeu ne couvre qu’une fraction du personnel, ce qui limite la portée immédiate mais montre la vulnérabilité d’un système d’authentification centralisé lorsqu’il n’est pas segmenté.
Sur le plan juridique, le DHS rappelle que le doxxing d’agents ICE est passible de poursuites, mais la diffusion publique d’informations déjà détenues par le gouvernement crée un précédent de transparence forcée. Les défenseurs de la liberté d’information voient dans cette fuite un outil pour affiner les demandes FOIA, car les noms et adresses permettent de cibler précisément les dossiers à interroger.
En conclusion, la fuite illustre la fragilité d’un SSO unique dans un environnement gouvernemental à forte sensibilité. Sans mesures de segmentation, d’audit renforcé des accès et de rotation fréquente des clés, d’autres agences pourraient subir des expositions similaires. Le DHS devra réviser son architecture d’authentification et renforcer la surveillance des logs d’accès afin de prévenir une récidive.
