Contexte de la compromission
Au milieu du mois d’août, un acteur se faisant appeler Department of Peace a publié en ligne plus de 40 000 enregistrements du Département de la Sécurité intérieure (DHS). Les dossiers comprennent noms, titres, adresses e‑mail, numéros de téléphone portable et localisation des bureaux. Les victimes couvrent les agences CBP (≈21 000), ICE (≈10 000), CISA (≈1 000) ainsi que d’autres services du DHS. La fuite représente environ un cinquième de l’effectif total du ministère, estimé à 220 000 personnes.
Mécanismes d’accès via Okta et Active Directory
Le hacker affirme avoir extrait les données d’un système d’authentification unique (SSO) Okta, utilisé pour fédérer les comptes employés et contractuels du DHS. Okta agit comme un fournisseur d’identité (IdP) : il délivre des jetons d’accès (SAML/OIDC) après authentification et transmet les attributs d’utilisateur aux applications internes. Une compromission d’un compte à privilèges ou d’une clé d’API d’administration Okta permettrait de récupérer les métadonnées d’utilisateurs ainsi que les journaux de connexion. Les enregistrements contiennent également les groupes Active Directory (AD) associés, qui définissent les droits d’accès aux services internes (Microsoft 365, Adobe Acrobat, Citrix, etc.).
Analyse des données divulguées
Outre les informations d’identification, le jeu de données révèle la structure des groupes AD. Plus de 4 500 comptes, dont des agents ICE, appartiennent au groupe Headspace_users, lié à un contrat de 82 500 $ pour un service de santé mentale. Un groupe nommé Penlink PLX regroupe plus de 2 000 utilisateurs et indique l’usage d’une plateforme de surveillance capable de collecter appels, SMS et activité web. Environ 200 comptes CBP sont associés à Mobile Fortify, une application de reconnaissance faciale déployée sur les points d’entrée. Enfin, plusieurs hauts fonctionnaires disposent d’un accès à ChatGPT, suggérant l’intégration de modèles de génération de texte dans les processus d’enquête.
Implications pour la sécurité et contre‑mesures
La fuite expose non seulement les coordonnées personnelles, mais aussi les vecteurs d’accès aux outils critiques. Un acteur malveillant disposant de ces informations pourrait cibler les comptes à privilèges via du phishing ou du credential stuffing, puis exploiter les jetons Okta pour pénétrer les environnements cloud du DHS. La présence de groupes liés à des technologies de surveillance augmente le risque de compromission de données de suivi. Les recommandations immédiates incluent la rotation des clés d’administration Okta, la révision des droits d’appartenance aux groupes AD, la mise en place d’une authentification multifacteur renforcée pour les comptes à haut risque et un audit complet des journaux d’accès afin de détecter d’éventuelles activités post‑exfiltration.
