ABD İç Güvenlik Bakanlığı'nda (DHS) çalışan veya yüklenici olarak görev yapan 41 binden fazla kişinin kayıtlarını içeren bir arşiv çarşamba günü kamuya açıldı. Arşivde isimler, iş adresleri, telefon numaraları, e-posta adresleri, ofis konumları ve her kişinin ne iş yaptığına dair açıklamalar var — bunların arasında ülke çapında baskınlar düzenleyen Göçmenlik ve Gümrük Muhafaza (ICE) ile Gümrük ve Sınır Koruma (CBP) personelinden binlercesi bulunuyor.
"Icepick" adlı veritabanı, kendine Department of Peace adını veren bir grupla güvenlik araştırmacısı maia arson crimew tarafından yayımlandı; barındırmayı kâr amacı gütmeyen Distributed Denial of Secrets üstlendi. DDoSecrets'e göre amaç her DHS görevlisinin listesi değil, anonimliğin yerine hesap verebilirliği koymak: kurucu ortak Emma Best'in ifadesiyle arşiv, gizli ve örtülü operasyonları yürüten yetkilileri, sızıntı avını, başarısız BlueLeaks soruşturmasını ve DHS'in sınır dışı etme programlarındaki kilit personeli isimlendiriyor.
Sızıntının daha kritik yarısı
Kişisel verilerin ötesinde arşiv, DHS birimlerini gözetim araçlarıyla eşleştiriyor: yüz tanıma uygulaması Mobile Fortify ve telefon ile çevrimiçi kayıtları analiz eden PenLink yazılımı bunlar arasında. Bu eşleştirme, işin stratejik açıdan en hassas kısmı: yalnızca kimin DHS'te çalıştığını değil, hangi ekibin hangi yeteneğe erişebildiğini söylüyor.
Bakanlık aylardır CBP ve ICE personelinin kimliğini gizlemek için yoğun çaba harcıyor — birçok kişi operasyonlarda artık maskeli ve isim etiketsiz görünüyor, gerekçe taciz korkusu — ve aynı zamanda çevrimiçi eleştirmenlerin peşine düşüyor. Department of Peace adına konuşan kişi TechCrunch'a "Onlar bizim bilgilerimize sahip, o yüzden bizim de onlarınkine sahip olmamız adil" dedi.
Veriler nasıl çıktı
Grup, profillere tek oturum açma hizmeti Okta üzerinden ulaştığını söylüyor. Okta bu anlatımı reddetti: sözcü, iddialardan haberdar olduklarını ancak "Okta güvenlidir ve verilerimizin veya sistemlerimizin ihlal edildiğine dair hiçbir kanıtımız yok" dedi. Verilerin gerçekte nasıl sızdığı böylece açık kalıyor — ele geçirilmiş bir hesap, müşteri tarafında bir yanlış yapılandırma ya da ihlal edilmiş bir tedarikçi, bu açıklamanın hepsiyle uyumlu olurdu.
Olay birkaç hafta içindeki üçüncü kurum vakası. Eylülde FBI vuruldu; ShinyHunters adlı grup binlerce ajan ve başvuru sahibinin kişisel bilgilerini aldı. Günler sonra Federal Seçim Komisyonu şüpheli bir saldırının ardından çevrimdışına alındı. Üç kurum, üç farklı saldırı yüzeyi — ve tek bir kampanyadan çok, zayıf kimlik altyapısına yönelik geniş bir arayışa benzeyen bir örüntü.
Şimdi neyin yanıtlanması gerekiyor
DHS ilk aşamada yorum talebine yanıt vermedi. Bu tür her sızıntıda önemli olan sorular açık: kayıtlar ne kadar eski, ne kadar eksiksiz ve ilgili kişilere haber verildi mi? Etkilenen personel için bu soyut değil, pratik bir mesele — sınır görevlilerinin iş adresleri ve telefon numaraları ABD'de yalnızca bir mahremiyet olayı değil, fiziksel bir güvenlik riski.
Geri kalan herkes için ders daha rahatsız edici. Tek oturum açma sistemi, tam da vaat ettiğini yaptığı için kolay bir giriş noktası: yüzlerce uygulamayı tek bir kimliğe bağlıyor. Orada duran her yerde durur. Bu yüzden Okta'nın mı yoksa bir müşterinin mi ihlal edildiği sorusu bir halkla ilişkiler tartışması değil — 41 bin kaydın kaçının daha geleceğini belirliyor.
