Hacker, Okta giriş sistemi üzerinden çalınan 40.000 DHS çalışanı verisini yayımladı

Hacker, 40.000'den fazla İç Güvenlik Bakanlığı çalışanı kaydını yayımladı

TechCrunch'ın haberine göre, bir hacker, yıl başında yaşanan ve daha önce açıklanmamış bir ihlalin ardından ABD İç Güvenlik Bakanlığı'nın (DHS) 40.000'den fazla çalışana ait kişisel tanımlayıcı bilgileri yayımladı. Ortaya çıkan kayıtlar arasında sınır ve göçmenlik ajanları, siber güvenlik personeli ve üst düzey yetkililer yer alıyor; kayıtlar isimleri, iş unvanlarını, kurumsal e-posta adreslerini, cep telefonu numaralarını ve ofis konumlarını içeriyor.

Department of Peace takma adını kullanan hacker, verilerin DHS'nin tüm kurumlarındaki çalışanların ve yüklenicilerin departmanın merkezi ağına giriş yapmasını sağlayan Okta tek oturum açma sisteminden alındığını iddia etti. TechCrunch'a göre ele geçirilen sistemde ayrıca her hesaba bağlı IT ve giriş kayıtları da bulunuyordu; bunlar kullanıcıların hangi iç sistemlere ve uygulamalara erişim yetkisi olduğuna dair ayrıntıları içeriyordu. Verilere eşlik eden bir notta hacker, sızıntıyı karşılıklılık olarak çerçeveledi ve departmanın halk hakkında bilgi topladığı için halkın da aynısını hak ettiğini savundu. Çalınan veriler, sızıntı veri kümelerini barındıran kâr amacı gütmeyen kolektif DDoSecrets'a bir kopya paylaşan gazeteci maia arson crimew'a iletildi.

Okta, TechCrunch'a konuyla ilgili haberdar olduğunu ancak kendi verilerinin veya sistemlerinin ele geçirildiğine dair bir kanıt bulunmadığını söyleyerek platformunun güvenli olduğu görüşünü korudu.

Sızıntının ölçeği

Veri kümesinin yarısından fazlası, yani kabaca 21.000 kayıt, havalimanlarında ve diğer giriş noktalarında görev yapan ABD Gümrük ve Sınır Koruma (CBP) çalışanlarına ait. 10.000 kayıt daha Göçmenlik ve Gümrük Uygulaması (ICE) ile onun İç Güvenlik Soruşturmaları biriminde çalışan personeli kapsıyor ve yaklaşık 1.000 kayıt Siber Güvenlik ve Altyapı Güvenliği Ajansı çalışanlarına ait. Binlerce ek kayıt ise departmanın merkezini ve ABD Vatandaşlık ve Göçmenlik Hizmetleri ile Federal Koruma Servisi dahil diğer kurumları içeriyor.

TechCrunch, verilerin bir bölümünü bilinen DHS çalışanlarını veri tabanının çevrimdışı bir kopyasıyla eşleştirerek gerçek olarak doğruladığını ve tek tek kayıtlardaki zaman damgalarının veri sızdırmanın ağustos ortasında gerçekleştiğine işaret ettiğini belirtiyor. Toplamda sızıntı, departmanın 220.000 kişilik iş gücünün yaklaşık beşte birine denk geliyor. İhlalin arka planındaki güvenlik açığının giderilip giderilmediği ya da DHS'nin hırsızlıktan haberdar olup olmadığı henüz bilinmiyor; departman sözcüsü TechCrunch'ın yorum talebine yanıt vermedi ve hacker da saldırının nasıl gerçekleştirildiğine dair soruları yanıtsız bıraktı.

Dizin verisi departmanın yazılım haritasını çıkarıyor

Veri kümesi, kişisel iletişim bilgilerinin ötesinde DHS'nin bağımlı olduğu teknolojinin kısmi bir haritasını sunuyor; çünkü çalışanların iç araçlara ve üçüncü taraf servislere erişimi denetleyen Active Directory kullanıcı gruplarındaki üyeliklerini içeriyor.

Veri kümesindeki çalışanların çoğu Microsoft 365 erişimi veren bir grubun yanı sıra Adobe Acrobat ve Citrix gibi günlük masaüstü yazılımlarına ait gruplara üye. ICE ajanları ve sınır dışı memurları dahil yaklaşık 4.500 kullanıcı Headspace_users adlı bir grupta yer alıyor; TechCrunch, çevrimiçi terapi sağlayıcısı Headspace'in daha önce 82.500 dolar tutarında bir ICE sözleşmesi bulunduğunu ve bu sözleşmenin 2023'te sona erdiğini, şirketin ise o tarihten beri DHS veya ICE'ye hizmet sunmadığını belirtiyor.

Onlarca kullanıcı grubu, yüz milyonlarca mobil cihazın konum verisini izleyebildiğini iddia eden web gözetim sağlayıcısı Penlink'e atıf yapıyor. Bu gruplar yerel ofislerdeki birkaç kullanıcıdan ICE'nin İç Güvenlik Soruştırmaları birimi genelinde 2.000'den fazla kullanıcıya kadar uzanıyor ve biri, şirketin aramalardan, mesajlardan, web taramasından ve sosyal medyadan alınan gerçek zamanlı istihbaratı yakalayıp analiz etmek için pazarladığı Penlink PLX'e atıf yapıyor. Penlink bir yorum talebine yanıt vermedi. Başka bir grup 200'den fazla CBP çalışanını, CBP ve ICE ajanlarının kişileri tanımlaması ve göçmenlik statüsünü doğrulaması için kullandığı yüz tanıma uygulaması Mobile Fortify'a bağlıyor; diğer gruplar ise bazı üst düzey yetkililerin ChatGPT erişimini ve Çin destekli Salt Typhoon ile Volt Typhoon hacker gruplarına yönelik soruşturmalarla bağlantılı çalışmaları gösteriyor.

Neden önemli

TechCrunch'a göre bu, aynı hacker'ın bu yıl üstlendiği ikinci DHS ihlali; önceki ihlalde departman ile savunma ve gözetim sağlayıcıları dahil özel firmalar arasındaki binlerce sözleşme çalınmıştı. Bu, yakın zamanda yaşanan FBI personel kayıtları ve Pentagon'un insan kaynakları biriminden milyonlarca aktif ve eski askeri personele ait kişisel bilgileri içeren ihlallerin ardından geldi.

Bu olay, kimlik sistemlerinde ne kadar hassas meta verinin yoğunlaştığını gözler önüne seriyor: tek bir oturum açma platformu yalnızca girişleri değil, kimin nerede çalıştığına ve hangi gözetim araçlarını kullanabileceğine dair bir dizini de barındırabiliyor. İlgili ajanlar ve yetkililer açısından cep numaralarının ve ofis konumlarının yayımlanması doğrudan kişisel bir güvenlik riski. Şeffaflık grupları sızıntıda soruşturma değeri görüyor. Property of the People'dan Ryan Shapiro, çalışan e-posta adreslerinin ve telefon numaralarının Bilgi Edinme Özgürlüğü Yasası talebinin başarılı olup olmayacağını çoğu zaman belirlediğini söylerken, DDoSecrets kurucu ortağı Emma Best verilerin gazeteciliği, kongre soruşturmalarını, hukuki mücadeleleri ve kayıt taleplerini hızlandıracağını öngördü. DHS kamuya açık bir yanıt verene kadar ihlalin nasıl gerçekleştiği ve altta yatan açığın giderilip giderilmediği açık sorular olarak kalıyor.