Des pirates ont exposé les dossiers associés à plus de 41 000 employés et sous-traitants du département de la Sécurité intérieure des États-Unis (DHS), dont des milliers travaillent pour l'Immigration and Customs Enforcement (ICE) et le Customs and Border Protection (CBP).
Les données, publiées en ligne le 28 octobre, comprennent les coordonnées des employés, leurs affectations et des informations sur leur accès aux applications gouvernementales. Un groupe se faisant appeler Department of Peace revendique la responsabilité de l'obtention de ces dossiers. Le DHS enquête sur une éventuelle compromission, tandis que la méthode employée par les attaquants pour accéder aux informations reste inconnue.
La fuite du DHS révèle l'identité des employés et des affectations sensibles
Les informations divulguées comprennent les noms, adresses e-mail, numéros de téléphone, lieux de travail et intitulés de poste de plusieurs agences du DHS.
Selon la BBC, le jeu de données comprend plus de 21 000 membres du personnel du CBP et près de 6 600 employés de l'ICE. D'autres dossiers concernent l'unité Homeland Security Investigations de l'ICE, le Federal Protective Service et la Cybersecurity and Infrastructure Security Agency (CISA).
Les dossiers identifient également des employés affectés à la surveillance, au renseignement humain, à l'informatique légale, aux opérations spéciales et aux missions sous couverture.
Reuters a recoupé de manière indépendante les informations concernant six employés du DHS avec d'autres dossiers et a confirmé certains détails auprès de trois employés par téléphone. Cependant, l'agence de presse n'a pas pu vérifier l'authenticité de l'ensemble du jeu de données.
L'organisation à but non lucratif Distributed Denial of Secrets (DDoSecrets) a publié l'archive, baptisée Icepick. Le chercheur et journaliste spécialisé en cybersécurité maia arson crimew a développé une interface permettant d'effectuer des recherches dans les dossiers.
Des pirates affirment que les données du DHS proviennent du service de connexion d'Okta
Le Department of Peace affirme avoir obtenu les dossiers via un service d'authentification unique d'Okta utilisé par les employés et sous-traitants du DHS pour accéder aux systèmes internes.
Le mode d'accès allégué n'est pas vérifié. Reuters n'a pas pu corroborer cette affirmation de manière indépendante, et Okta a déclaré n'avoir trouvé aucune preuve d'une compromission de ses propres systèmes ou données.
« Okta est sécurisé et nous n'avons aucune preuve que nos données ou nos systèmes aient été compromis », a déclaré l'entreprise à Reuters.
Entre-temps, TechCrunch a rapporté que les horodatages figurant dans les dossiers des employés laissent penser que les données pourraient avoir été extraites vers la mi-août. La date de l'intrusion initiale et la question de savoir si le problème de sécurité sous-jacent a été corrigé restent inconnues.
Le DHS a reconnu une éventuelle compromission, mais n'a pas confirmé publiquement comment les dossiers avaient été consultés.
Les groupes d'accès exposés révèlent bien plus que les coordonnées des employés
Au-delà de l'identification du personnel du DHS, le jeu de données comprendrait des appartenances à des groupes Active Directory indiquant les applications internes et services tiers auxquels les employés pourraient être autorisés à accéder.
TechCrunch a trouvé des références à Microsoft 365, à Citrix, au fournisseur de solutions de surveillance Penlink et à Mobile Fortify, une application de reconnaissance faciale utilisée par les autorités chargées de l'immigration.
Certaines entrées faisaient également référence à des enquêtes concernant les groupes de pirates informatiques liés à la Chine Salt Typhoon et Volt Typhoon.
Les attaquants pourraient utiliser les dossiers d'employés divulgués et les informations sur l'accès aux applications pour identifier des cibles de premier plan, usurper l'identité de collègues ou envoyer des e-mails d'hameçonnage convaincants au personnel du DHS.
Les appartenances aux groupes répertoriées ne suffisent pas, à elles seules, à établir les autorisations actuelles, l'utilisation effective des applications ou la compromission des systèmes concernés.
Les équipes de sécurité doivent examiner les accès aux identités et l'exposition des employés
L'incident du DHS montre comment les annuaires d'employés et les enregistrements de gestion des accès peuvent révéler les relations au sein d'une organisation, même lorsque les mots de passe ne sont pas divulgués publiquement.
Pour les organisations qui gèrent des informations sensibles sur leur personnel, plusieurs mesures peuvent contribuer à réduire les risques comparables :
- Auditer l'activité des identités : Examiner les journaux d'authentification, les accès inhabituels aux comptes, les exportations inattendues d'annuaires et les modifications des autorisations des applications.
- Limiter les accès inutiles aux annuaires : Veiller à ce que les employés et les sous-traitants ne puissent consulter que les informations sur le personnel et les accès aux systèmes nécessaires à leurs fonctions.
- Avertir les personnes potentiellement concernées : Préparer les employés aux campagnes d'hameçonnage ciblées, aux tentatives d'usurpation d'identité et aux demandes suspectes faisant référence à des affectations internes.
- Examiner les appartenances aux groupes d'applications : Identifier les autorisations excessives et supprimer les accès qui ne sont plus nécessaires.
- Évaluer l'exposition opérationnelle : Déterminer si les informations organisationnelles divulguées pourraient affecter des enquêtes confidentielles ou la sécurité des employés.
Le DHS a déclaré à Reuters qu'il s'efforçait de traiter la compromission potentielle et de protéger les personnes concernées.
Le département n'a pas confirmé publiquement la cause première de l'incident ni détaillé les mesures correctives. Les recommandations ci-dessus portent sur les risques d'exposition potentiels ; elles ne constituent pas des conclusions sur la manière dont les dossiers du DHS ont été obtenus.
Pour les équipes de sécurité, la question pratique est de savoir ce que quelqu'un pourrait déduire en combinant les informations exposées. Un nom et une adresse e-mail professionnelle fournissent un point de contact. Si l'on y ajoute une affectation ou un groupe d'applications, un usurpateur pourrait disposer d'un motif plus crédible pour contacter cette personne.
Une évaluation de l'exposition devrait donc identifier les membres du personnel dont les responsabilités et les accès métier pourraient en faire des cibles de choix. Les avertissements devraient expliquer les prétextes vraisemblables : des demandes faisant référence à un collègue, à un outil interne ou à une affectation sensible. Les employés devraient vérifier les demandes inattendues au moyen de coordonnées obtenues indépendamment, en particulier avant de partager des informations ou d'approuver un accès.
Les équipes devraient également comparer les appartenances aux groupes exposées avec les enregistrements d'accès actuels. La suppression des autorisations obsolètes peut réduire le risque lié aux accès, mais elle n'efface pas les informations organisationnelles déjà divulguées. Le suivi devrait prendre en compte à la fois les activités d'authentification suspectes et les signalements d'usurpation d'identité, plutôt que de considérer l'examen des accès comme la fin de la réponse.
En savoir plus : le piratage du Pentagone ayant touché plus de 3 millions de personnes montre comment l'exposition d'informations personnelles et de détails sur les fonctions militaires peut créer des risques durables d'usurpation d'identité et de ciblage du personnel.