Изтичане на данни, обхващащо над 41 000 служители и външни изпълнители на Министерството на вътрешната сигурност (DHS), разкри данни за контакт, служебни задължения и връзки с чувствителни операции, включително работа под прикритие за Службата за имиграция и митници (ICE). Публикуван на 28 октомври, архивът разкрива много повече от обикновен указател на персонала, предлагайки поглед върху вътрешните екипи и йерархичните връзки.
Организацията Distributed Denial of Secrets разпространи колекцията под името Icepick, посочвайки като източник група, наричаща себе си Department of Peace. Изследователят и журналист Мая Арсън Краймев създаде инструмент за търсене в записите. Организацията с нестопанска цел твърди, че публикуването подпомага обществения контрол, журналистиката и исканията за достъп до държавни архиви.
Изтичане на данни от DHS
Според докладите записите са били последно обновени на 19 август 2026 г. Те включват имена, имейл адреси, телефонни номера, местоположение на офиси, длъжности и преки ръководители. Файловете обхващат DHS и седем подчинени агенции, включително Службата за имиграция и митници (ICE), Агенцията за митническа и гранична защита (CBP) и Агенцията за киберсигурност и сигурност на инфраструктурата (CISA).
Над половината от записите са свързани с CBP, докато приблизително 10 000 се отнасят за ICE. Около 6200 засягат Службата за гражданство и имиграция на САЩ, а близо 1000 се отнасят за CISA. Колекцията представлява около една седма от работната сила на министерството, а не всички служители на DHS.
Най-чувствителните детайли се появяват в повече от 55 000 групи за достъп, които контролират разрешенията за вход във вътрешни системи. Изданието WIRED идентифицира 39 служители от отдел „Разследвания за вътрешната сигурност“ (HSI) в групи, съдържащи съкращението „CUC“ – термин, който съдебните регистри свързват със сертифицирани операции под прикритие. Други групи препращат към подслушвания, анализ на телефонни данни и инструменти за наблюдение.
От DDoSecrets твърдят, че информацията произхожда от услугата за единен вход (SSO) Okta, използвана от DHS. Въпреки това агенция Reuters не успя да потвърди това твърдение. От Okta заявиха, че системите им са защитени и нямат доказателства техните данни или инфраструктура да са били компрометирани. Няма оповестен потвърден метод за осъществяване на пробива.
Тази разлика е от съществено значение. Твърдение за кражба на данни от услуга за идентификация на дадена организация не означава непременно компрометиране на самия доставчик на услугата за идентичност. Отделни доклади за атаки, насочени към системи за идентичност на Okta, показват как киберпрестъпници могат да компрометират потребителски профили чрез телефонни обаждания и фалшиви заявки към техническата поддръжка. Няма потвърдена връзка между тези методи и настоящия инцидент.
Reuters не успя да провери целия архив. Агенцията съпостави данните на шест служители с други архиви и потвърди телефонни номера и друга информация, като се свърза с трима от тях. Някои от записите съвпадат с публични профили, докато други разкриват вътрешни структури или неизвестни досега операции.
Имената стават значително по-полезни за атакуващите, когато са комбинирани с преки ръководители, служебни задължения и телефонни номера. Експертът от Recorded Future Александър Лесли заяви пред WIRED, че подобна информация може да помогне на противниците да идентифицират уязвими служители, да изградят убедителни опити за социално инженерство и представяне под чужда самоличност или да застрашат текущи разследвания. Принадлежността към определена група обаче не бива автоматично да се третира като доказателство за настоящите задачи на дадено лице.
Предишни кампании за представяне под чужда самоличност като техническа поддръжка на Okta илюстрират защо изтеклите данни за контакт са толкова опасни. Атакуващите са използвали фалшиви съобщения от поддръжката и страници за вход, за да крадат данни за профили и кодове за удостоверяване. Записите на DHS биха могли да осигурят ресурс за сходни целенасочени подходи.
Разкритието следва твърдението на ShinyHunters от септември за кражба на данни на персонал от ФБР, както и съдебно дело от октомври за пробив в Министерството на отбраната, засегнал милиони хора. Това са отделни инциденти без установена обща причина.