4万人超の職員情報が流出
米国土安全保障省（DHS）の職員4万人超について、氏名、役職、業務用メールアドレス、携帯電話番号、勤務地などの情報がオンラインに公開されました。税関・国境警備局（CBP）や移民・関税執行局（ICE）の職員も含まれ、職員名簿に加えて、内部ツールへのアクセスに関する情報も流出しています。
「Department of Peace」を名乗るハッカーは、DHSが職員や委託先のログインに使うOktaのシングルサインオン（SSO）システムからデータを取得したと主張しました。SSOは、一度の認証で複数の業務システムにアクセスする仕組みです。記録のタイムスタンプによると、データは8月中旬ごろに持ち出されました。
DDoSecretsは流出データを「Icepick」として公開し、検索ツールも提供しています。データベースには、4万1,000人を超えるDHS職員の情報が含まれています。
CBPとICEの職員情報が大部分を占める
流出データのうち、約2万1,000件はCBP職員に関する記録です。ICEとその捜査部門である国土安全保障捜査局（HSI）の職員は約1万人分で、サイバーセキュリティ・インフラ安全保障庁（CISA）の職員も1,000人弱含まれています。
ほかに、DHS本部や市民権・移民局、連邦防護局などの職員記録も含まれます。流出データには職員の氏名や連絡先に加え、Active Directoryのユーザーグループ情報があります。Active Directoryは、組織内のツールやサービスへのアクセスを管理する仕組みです。
Active Directoryを認証元として使う構成では、Oktaのエージェントが認証要求をADへ送り、ADがパスワードを検証します。ユーザーやグループの情報をOktaへ取り込み、アプリへの割り当てに使う構成もあります。
内部ツールのグループ情報も含む
職員のグループ情報から、利用可能なソフトウェアやサービスの一部が分かります。約4,500人がオンラインセラピーサービス「Headspace」のユーザーグループに属しています。同社は、DHSやICEへのサービス提供を2023年に終えたと述べています。
監視技術を手掛けるPenlinkに関連するグループも複数あり、ICEのHSI全体にまたがる2,000人超のグループから、地域の少人数グループまで規模はさまざまです。CBP職員200人超に関連するグループには、顔認識アプリ「Mobile Fortify」の名前も含まれていました。
流出データには、Microsoft 365やAdobe Acrobatなどの一般的な業務ソフトに関するグループのほか、ChatGPTへのアクセスに関連するグループも記録されています。
身元と担当業務の公開が安全上の懸念に
DHS当局者は、職員の身元を明かさない方針を取り、職員への脅迫が増えたと説明していました。Straight Arrowが報じた当局者の説明です。今回のデータには、潜入・秘密活動に関係するグループ名や職員の担当業務も含まれています。
公開された検索ツールでは、氏名、所属機関、役職、勤務地から職員情報を探せます。連絡先と担当情報が一緒に公開され、特定の職員とその役割を結び付けられる状態になっています。
透明性団体Property of the Peopleのライアン・シャピロ氏は、メールアドレスや電話番号が情報公開請求を行う調査者にとって重要だと述べました。DDoSecretsの共同創設者エマ・ベスト氏は、データが報道機関の調査や議会の照会、法的手続きなどにつながるとの見方を示しています。
