Утечка данных DHS затронула более 40 тысяч сотрудников Министерства внутренней безопасности США: в открытом доступе оказались их имена, должности, рабочие email, мобильные номера и локации офисов. Для ИТ-команд это очередное напоминание: компрометация корпоративного каталога и SSO — не просто инцидент с учётными записями, а готовая карта для фишинга, социальной инженерии и дальнейшего проникновения в инфраструктуру.
По данным TechCrunch, массив включает сведения о сотрудниках Customs and Border Protection (CBP), Immigration and Customs Enforcement (ICE), подразделения Homeland Security Investigations, агентства CISA и центрального аппарата DHS. Хакер под псевдонимом Department of Peace утверждает, что получил данные через систему единого входа Okta, которую ведомство использует для доступа сотрудников и подрядчиков к центральной сети. Okta заявила, что не видит признаков компрометации собственных систем или данных.
В опубликованной базе — свыше 21 тысячи записей, относящихся к сотрудникам CBP, около 10 тысяч записей по ICE и HSI и почти тысяча по CISA. Остальная часть приходится на другие структуры DHS, включая Службу гражданства и иммиграции США и Федеральную службу охраны. По оценке издания, объём утечки сопоставим примерно с пятой частью штата DHS, где работает около 220 тысяч человек.
Судя по временным меткам в карточках сотрудников, данные могли быть выгружены в середине августа. Ведомство на момент публикации не ответило на запрос журналистов, поэтому неизвестно, было ли DHS осведомлено об эксфильтрации и закрыта ли уязвимость, позволившая получить доступ. Это критичная деталь: публичная публикация справочника болезненна сама по себе, но действующий вектор доступа превращает историю из последствий инцидента в продолжающийся риск.
Почему каталог пользователей опаснее, чем кажется
В утечке оказались не только контакты. Согласно описанию массива, он содержит сведения об учётных записях и членстве пользователей в группах Active Directory. Такие группы показывают, к каким внутренним системам, приложениям и сторонним сервисам может обращаться конкретный сотрудник. Для атакующего это резко сокращает время на разведку: вместо предположений о том, кому отправлять письмо и под каким предлогом звонить, появляется сегментированная база с ролями, подразделениями и вероятными рабочими инструментами.
Большинство сотрудников, как и следовало ожидать, состояли в группах доступа к Microsoft 365, Adobe Acrobat, Citrix и другому обычному корпоративному ПО. Но есть и более чувствительные маркеры. Около 4,5 тысячи пользователей, включая агентов ICE и сотрудников депортационного подразделения, числились в группе Headspace_users. Компания Headspace подтвердила TechCrunch, что не оказывает услуг DHS или ICE с 2023 года; прежде у неё был контракт с ICE на программное обеспечение для психологической поддержки сотрудников.
Другие группы указывают на использование продуктов Penlink — поставщика веб-инструментов наблюдения, работающего с ICE. В базе есть группы от небольших региональных подразделений до групп примерно на 2 тысячи пользователей в HSI. Отдельно упоминается Penlink PLX, который производитель позиционирует как средство сбора и анализа данных из звонков, сообщений, веб-активности и социальных сетей. Ещё более 200 пользователей CBP были связаны с Mobile Fortify — приложением распознавания лиц, которое CBP и ICE используют для идентификации людей и проверки их данных и иммиграционного статуса.
Это не означает, что каждый пользователь группы активно работал с конкретным сервисом или имел одинаковый уровень привилегий. Членство в группе может отражать лицензирование, старую роль или техническую настройку. Но для злоумышленников даже неполная схема доступа полезна: она помогает выбирать правдоподобные темы писем, имитировать внутренние запросы службы поддержки и искать людей с потенциально ценными правами.
SSO как точка концентрации риска
Утечка данных DHS особенно показательна для организаций, которые строят безопасность вокруг SSO. Единый вход упрощает жизнь пользователям и администраторам, однако одновременно концентрирует в одном контуре идентификационные данные, атрибуты ролей и связи между сотрудником и приложениями. В результате инцидент с системой идентификации может раскрыть не один сервис, а всю архитектуру доступа. Для крупной компании такая информация зачастую ценнее, чем отдельная выгрузка почтовых адресов.
Практический вывод для российских команд не сводится к очередному совету включить MFA. Нужны регулярные проверки журналов входа и массового экспорта из каталогов, минимизация видимости атрибутов пользователей, разделение административных ролей и быстрый отзыв доступов после смены должности. Не менее важна готовность к последствиям раскрытия справочника: сценарии адресного фишинга, уведомление затронутых сотрудников и отдельная защита тех, чьи должности делают их приоритетными целями.
Инцидент также продолжает серию взломов американских госструктур: ранее в последние месяцы сообщалось о хищении кадровых записей сотрудников ФБР и персональной информации миллионов нынешних и бывших военнослужащих из HR-системы Пентагона. Для DHS это уже вторая заявленная атака за год: тот же хакер ранее говорил о краже тысяч контрактов ведомства с частными компаниями, включая оборонных подрядчиков и поставщиков систем наблюдения.
Опубликованный массив передали журналистке и исследовательнице безопасности maia arson crimew, после чего копия оказалась у DDoSecrets. TechCrunch проверил часть записей, сопоставив имена известных сотрудников DHS с офлайн-копией базы, и счёл данные подлинными. Прозрачностные организации уже говорят, что рабочие контакты помогут журналистским расследованиям, обращениям по закону о свободе информации и юридическим проверкам деятельности ведомства.
Главный вопрос теперь не в том, насколько неприятной окажется эта утечка данных DHS для её фигурантов, а в том, был ли закрыт путь, по которому сформировали выгрузку. Если нет, опубликованный каталог станет лишь первым слоем ущерба: следующим могут оказаться новые данные, сессии или доступ к системам, на которые указывают группы пользователей. Подробности и подтверждения по опубликованному набору доступны в материале .
