Oltre 40.000 record di dipendenti del Dipartimento della Sicurezza Interna degli Stati Uniti sono stati pubblicati online dopo che un hacker ha sottratto una consistente mole di dati nel corso di una violazione finora inedita. Il materiale riguarda funzionari delle frontiere, dell’immigrazione, della cybersicurezza e vertici del dipartimento federale. Secondo i timestamp associati alle singole voci, l’esfiltrazione sarebbe avvenuta intorno alla metà di agosto.
Le informazioni personali pubblicate comprendono nomi, titoli di lavoro, indirizzi email, numeri di cellulare e sede di lavoro. Il volume diffuso equivale a circa un quinto della forza lavoro del dipartimento, che conta circa 220.000 dipendenti. Una parte dei dati è stata verificata come autentica attraverso il confronto tra i nomi di alcuni dipendenti noti del dipartimento e una copia offline del database.
La raccolta è stata attribuita a un hacker che utilizza l’identità Department of Peace. Nel materiale pubblicato, l’autore sostiene di aver ottenuto le informazioni da un sistema di single sign-on Okta utilizzato dal dipartimento. Lo stesso sistema conterrebbe anche record IT e di accesso associati agli account utente, inclusi i dettagli sui sistemi e sulle applicazioni interne cui è consentito accedere.
Oltre la metà del dataset, pari a circa 21.000 record, riguarda dipendenti dello U.S. Customs and Border Protection (CBP), impiegati negli aeroporti e in altri punti di ingresso. Un ulteriore blocco di circa 10.000 record riguarda invece personale di Immigration and Customs Enforcement (ICE) e della sua unità Homeland Security Investigations (HSI). Poco meno di 1.000 record sono collegati ai dipendenti di CISA.
Le altre migliaia di schede riguardano il personale della sede centrale e di altre agenzie federali, fra cui U.S. Citizenship and Immigration Services e Federal Protective Service. Il dipartimento non ha ancora fornito una spiegazione sulla violazione: non è noto se la vulnerabilità sia stata corretta né se il furto sia stato individuato internamente. Un portavoce non ha risposto alla richiesta di commento.
Gli strumenti digitali accessibili al personale
Il dataset non si limita ai dati anagrafici. Rivela anche quali gruppi utente di Active Directory includevano i dipendenti: Active Directory controlla l’accesso a strumenti interni, servizi e offerte di terze parti utilizzati per il lavoro. La maggior parte del personale presente nelle liste apparteneva al gruppo con accesso a Microsoft 365, il servizio cloud che ospita email e file dell’agenzia. Fra gli altri gruppi individuati figurano quelli relativi ad Adobe Acrobat, Citrix e ad altre applicazioni desktop.
Circa 4.500 utenti, fra cui agenti ICE e funzionari dell’immigrazione, risultavano iscritti al gruppo “Headspace_users”. Headspace aveva stipulato nel 2023 un contratto federale da 82.500 dollari con ICE per software di salute mentale destinato ai dipendenti ERO, la divisione dell’agenzia incaricata delle espulsioni. L’azienda ha dichiarato di non aver fornito servizi a DHS o ICE dal 2023.
Decine di altri gruppi fanno riferimento a Penlink, società che sviluppa strumenti per la sorveglianza sul web. Penlink afferma che il proprio prodotto Penlink PLX viene utilizzato per acquisire e analizzare “real-time intelligence” da telefonate, messaggi testuali, attività web e social media. L’azienda sostiene inoltre che la propria tecnologia possa tracciare i dati di posizione di centinaia di milioni di dispositivi mobili e che mantenga da anni un contratto con ICE.
La dimensione dei gruppi varia: si va da poche decine di utenti negli uffici locali del dipartimento nel Paese a oltre 2.000 utenti dell’unità HSI a livello nazionale. Un portavoce di Penlink non ha risposto alla richiesta di commento. Un altro gruppo comprende oltre 200 utenti CBP collegati a Mobile Fortify, applicazione di riconoscimento facciale utilizzata da agenti CBP e ICE per identificare persone e verificarne informazioni e status migratorio.
Tra i gruppi elencati risultano anche dipendenti con accesso a ChatGPT, inclusi alcuni vertici DHS, e altri ancora associati a indagini sui gruppi di hacking supportati dalla Cina noti come Salt Typhoon e Volt Typhoon. I documenti mostrano quindi un quadro parziale dell’infrastruttura tecnica utilizzata dal personale federale e delle tecnologie esterne collegate alle sue attività.
La reazione di Okta e le verifiche sui dati
Okta ha dichiarato di essere a conoscenza della notizia. Un portavoce ha precisato: “Okta is secure, and we have no evidence our data or systems were compromised”. Il fornitore non ha quindi ammesso una compromissione dei propri sistemi, mentre l’attribuzione del furto a un’infrastruttura Okta resta una dichiarazione dell’hacker.
La diffusione dei dati è avvenuta attraverso un percorso che ha coinvolto la giornalista e hacker maia arson crimew, la quale ha condiviso una copia con DDoSecrets, collettivo no profit che ospita dataset rubati per interesse pubblico. L’hacker non ha risposto alle richieste di chiarimento su come sia stata condotta la violazione.
Si tratta della seconda violazione che riguarda Homeland Security nel 2026. In precedenza, lo stesso hacker aveva dichiarato di aver acquisito migliaia di contratti stipulati dal dipartimento con soggetti privati, comprese aziende della difesa e fornitori di tecnologie di sorveglianza. Nelle vicende più ampie degli ultimi mesi sono stati colpiti anche dati di migliaia di agenti dell’FBI e informazioni personali di milioni di militari in servizio e congedati.
Un database utile alle richieste di accesso alle informazioni
Ricercatori e sostenitori della trasparenza ritengono che i dati esposti possano offrire elementi utili per indagare presunti abusi dell’amministrazione Trump. Fra le possibili applicazioni vi è l’identificazione di indirizzi email di agenti da utilizzare nelle richieste pubbliche previste dal Freedom of Information Act. La disponibilità di contatti aggiuntivi potrebbe rendere più efficaci le istanze rivolte agli enti federali.
Ryan Shapiro, direttore esecutivo dell’organizzazione senza scopo di lucro Property of the People, ha spiegato: “Email addresses and phone numbers are indispensable tools for FOIA researchers, often making the difference between a vague records request that gets stonewalled and one that gets results”. A suo giudizio, la scarsa trasparenza dell’amministrazione rende urgente disporre di questi strumenti.
Anche Emma Best, cofondatrice di DDoSecrets e giornalista, ha commentato il potenziale del materiale. Secondo lei, i dati esposti diventeranno un “catalyst for investigations, empowering journalists, Congressional inquiries, legal challenges, community action and Freedom of Information Act requests”. Il Department of Peace ha lasciato con i dati la frase: “They have our information, so it’s only fair that we have theirs”.
L’insieme dei documenti offre una visione parziale, ma rara, dell’organizzazione del dipartimento e delle tecnologie utilizzate dai suoi dipendenti. Restano però ignoti l’effettiva portata dell’intrusione, lo stato delle indagini e l’eventuale correzione delle vulnerabilità indicate.
