Contexte de la fuite
En juillet 2023, un acteur se faisant appeler “Department of Peace” a publié un jeu de données contenant les informations personnelles de plus de 41 000 employés du Department of Homeland Security (DHS). Les enregistrements couvrent les agences Immigration and Customs Enforcement (ICE), Customs and Border Protection (CBP), la Cybersecurity and Infrastructure Security Agency (CISA), l’US Citizenship and Immigration Services (USCIS) et Homeland Security Investigations (HSI). Le volume déclaré comprend environ 21 000 dossiers de CBP et près de 7 000 de ICE. La fuite suit de près une intrusion similaire sur le FBI, révélant une tendance à cibler les bases de données d’employés gouvernementaux.
Mécanisme d’accès via Okta
Selon les rapports de TechCrunch, l’accès initial a été obtenu en compromettant Okta, le service d’identité et de gestion des accès (IAM) déployé par le DHS. Okta centralise l’authentification unique (SSO) et la gestion des droits pour les applications internes. En détournant les jetons d’authentification ou en exploitant une configuration insuffisamment restreinte, le hacker a pu extraire les profils utilisateurs stockés dans le répertoire d’Okta. Cette méthode montre comment la compromission d’un fournisseur IAM peut exposer simultanément plusieurs systèmes d’information, même lorsque chaque application possède ses propres contrôles d’accès.
Contenu du jeu de données et outils de surveillance
Le jeu de données, nommé “Icepick”, a été transmis par la chercheuse en cybersécurité maia arson crimew à Distributed Denial of Secrets (DDoSecrets), qui l’héberge publiquement. Outre les champs classiques – nom, fonction, numéro de téléphone, adresse e‑mail et localisation du bureau – les fichiers listent les outils de surveillance accessibles aux équipes DHS. Parmi eux, l’application de reconnaissance faciale Mobile Fortify et le système PenLink, capable d’intercepter et d’analyser les communications téléphoniques et les données en ligne. La présence de ces outils indique que les employés concernés disposent d’un accès direct à des capacités de collecte de données à grande échelle.
Répercussions et réponses
Le DHS n’a pas commenté immédiatement la fuite, mais la divulgation publique met en évidence deux vecteurs de risque : la perte de la confidentialité des agents d’application de la loi et la possible utilisation des listes d’outils pour des attaques ciblées. Les organisations qui s’appuient sur Okta sont incitées à réviser les politiques de moindre privilège, à surveiller les anomalies de jetons et à renforcer la segmentation des accès entre les services. Du côté de la communauté de recherche, la mise à disposition du jeu de données par DDoSecrets permet d’analyser les pratiques de gestion des identités au sein d’une agence fédérale, tout en soulevant des questions éthiques sur la diffusion d’informations personnelles.
