ハッカーが、米国土安全保障省（DHS）の4万1000人を超える職員および請負業者に関連する記録を流出させた。移民・関税執行局（ICE）と税関・国境警備局（CBP）に勤務する数千人も含まれている。
10月28日にオンラインで公開されたデータには、職員の連絡先情報、職務内容、政府アプリケーションへのアクセスに関する詳細が含まれている。Department of Peaceを名乗るグループが、記録を入手した責任を主張している。DHSは情報漏えいの可能性を調査中だが、攻撃者がどのような方法で情報にアクセスしたのかは確認されていない。
DHSの漏えいで職員の身元と機密性の高い職務内容が明らかに
漏えいした情報には、複数のDHS機関にまたがる職員の氏名、メールアドレス、電話番号、勤務先所在地、役職が含まれている。
報道によると、 BBC、このデータセットにはCBP職員が2万1000人超、ICE職員が約6600人含まれている。ほかにも、ICEの国土安全保障捜査局（HSI）、連邦防護局、サイバーセキュリティ・インフラセキュリティ庁（CISA）の記録が含まれている。
記録には、監視、人間情報、コンピューターフォレンジック、特殊作戦、潜入捜査を担当する職員も記載されている。
Reutersは、DHS職員6人に関する情報を他の記録と個別に照合し、うち3人には電話で詳細を確認した。ただし、通信社はデータセット全体の真正性を検証できなかった。
非営利団体Distributed Denial of Secrets（DDoSecrets）は、 Icepickと呼ばれるアーカイブを公開した。サイバーセキュリティ研究者でジャーナリストのmaia arson crimewは、記録を検索できるインターフェースを開発した。
ハッカー、DHSのデータはOktaのサインオンサービス経由で入手したと主張
Department of Peaceは、DHSの職員や請負業者が内部システムにアクセスするために使っているOktaのシングルサインオンサービスを通じて記録を入手したと主張している。
このアクセス方法については確認されていない。Reutersはこの主張を独自に裏付けられず、Oktaも自社のシステムやデータが侵害された証拠は見つかっていないと述べた。
「Oktaは安全であり、当社のデータやシステムが侵害された証拠はない」と同社はReutersに語った。
一方、 TechCrunchは、職員記録のタイムスタンプから、データが8月中旬頃に抽出された可能性があると報じた。最初の侵入日時や、根本的なセキュリティ問題が対処されたかどうかは、依然として不明だ。
DHSは情報漏えいの可能性を認めたが、記録へのアクセス方法を公に確認していない。
露出したアクセスグループから、職員の連絡先以上の情報が明らかに
このデータセットには、DHS職員を特定する情報に加え、職員がどの内部アプリケーションやサードパーティーサービスの利用を認可されているかを示すActive Directoryのグループメンバーシップも含まれているとみられる。
TechCrunchは、Microsoft 365、Citrix、監視サービスプロバイダーのPenlink、移民当局が使用する顔認識アプリケーションMobile Fortifyへの言及を発見した。
一部の記録には、中国と関連するハッカーグループSalt TyphoonおよびVolt Typhoonが関与する捜査への言及もあった。
攻撃者は、流出した職員記録とアプリケーションのアクセス情報を使って、価値の高い標的を特定したり、同僚になりすましたり、説得力のあるフィッシングメールを送り、DHS職員をだましたりする可能性がある。
記載されたグループメンバーシップだけでは、現在の権限、実際のアプリケーション利用状況、または言及されたシステムの侵害を示すものではない。
セキュリティチームはIDアクセスと職員情報の露出を見直すべき
今回のDHSのインシデントは、パスワードが公に開示されていない場合でも、職員名簿やアクセス管理記録から組織内の関係性が明らかになり得ることを示している。
機密性の高い職員情報を管理する組織では、同様のリスクを軽減するために、次のような対策が役立つ。
- IDアクティビティを監査する：認証ログ、不審なアカウントアクセス、予期しないディレクトリエクスポート、アプリケーション権限の変更を確認する。
- 不要なディレクトリアクセスを制限する：職員と請負業者が閲覧できる人事情報やシステムアクセス情報を、それぞれの職務に必要なものだけに限定する。
- 影響を受けた可能性のある職員に警告する：標的型フィッシング、なりすましの試み、内部の職務内容に言及した不審な依頼に備えるよう、職員に周知する。
- アプリケーションのグループメンバーシップを見直す：過剰な権限を特定し、不要になったアクセスを削除する。
- 業務上の露出を評価する：公開された組織情報が、機密性の高い捜査や職員の安全に影響を及ぼす可能性があるかどうかを判断する。
DHSはReutersに対し、情報漏えいの可能性への対処と、影響を受けた職員の保護に取り組んでいると述べた。
同省は、根本原因や詳細な是正措置を公に確認していない。上記の提言は情報露出の潜在的なリスクを扱うものであり、DHSの記録がどのように入手されたかについての認定ではない。
セキュリティチームにとって実務上の問題は、露出した情報を組み合わせることで何を推測できるかだ。氏名と業務用メールアドレスがあれば、連絡を取る窓口になる。そこに職務内容やアプリケーションのグループ情報が加われば、なりすましを行う者が、より信憑性の高い接触理由を作れる可能性がある。
したがって、露出評価では、 責任範囲と業務上のアクセスによって価値の高い標的になり得る人員を特定すべきだ。警告では、同僚や内部ツール、機密性の高い職務内容に言及する依頼など、想定される口実を説明する必要がある。職員は、予期しない依頼を受けた場合、特に情報を共有したりアクセスを承認したりする前には、別途入手した連絡先を使って確認すべきだ。
チームは、露出したグループメンバーシップと現在のアクセス記録も照合すべきだ。古い権限を削除すればアクセスリスクは軽減できるが、すでに開示された組織情報が消えるわけではない。その後の監視では、アクセスレビューを対応の終わりとみなすのではなく、不審な認証アクティビティとなりすましに関する報告の両方を考慮する必要がある。
詳しくは： 300万人超に影響したPentagonの情報漏えいは、露出した個人情報と軍務の詳細が、長期にわたる身元情報悪用や職員を標的としたリスクにつながり得ることを示している。