DHS: 41 mil contas publicadas, via Okta não provada

Registro corrigido. Nossa entrada tinha como país BR, setor vazio, data 29/10 e título que repetia uma manchete. A vítima é o DHS dos EUA (US), setor Governo. A publicação foi na quarta-feira 28/10, e o dia 29 foi o da repercussão e da derrubada do domínio. O selo 'claimed / unverified' ficou defasado: há corroboração independente do conteúdo e reconhecimento parcial pelo DHS. Não chega a 'confirmed' porque o DHS fala em 'potencial violação' e não confirmou escopo, vetor nem contagem.

O ator diz ser o Department of Peace, grupo hacktivista. Entregou o material à DDoSecrets e à hacker suíça maia arson crimew, e a NPR cita também o jornalista Ryan Ottignon. A DDoSecrets publicou e nomeou o conjunto 'Icepick'. O ator alega que os dados saíram de um serviço de login único (Okta) do DHS. Segundo o Help Net Security, o arquivo indexa 41.191 pessoas, 55.603 grupos, cerca de 7.000 escritórios e mais de 2.200 locais. O ator não respondeu a perguntas sobre como obteve os arquivos.

O DHS admite pouco. Disse à imprensa que 'tem ciência de uma potencial violação' e trabalha para resolvê-la. No memorando interno visto pela CNN, fala em 'alegada' violação e em entender o escopo. Um funcionário ouvido pela CNN chamou o vazamento de 'constrangedor', mas disse já ter visto coisa pior. Não há comunicado de escopo, nem manifestação de regulador, nem notificação de afetados. O DHS usou notificação de retirada: o domínio do buscador caiu e outro apareceu, o que mostra que a contenção é ineficaz.

Quem corrobora: a Reuters cruzou dados de seis servidores com bases de crédito e vazamentos antigos e ligou para três, que confirmaram. Um deles disse que era a primeira vez que ouvia falar da violação. O Nextgov conferiu um número de trabalho e cargos no LinkedIn. A cobertura da WIRED cita que parte dos registros mostra detalhes organizacionais não públicos. Isso sustenta autenticidade, mas por amostragem. Ninguém auditou o arquivo inteiro. Descrições como 'agentes infiltrados' vêm da leitura de nomes de grupos (por exemplo, grupos de 'operações encobertas'). Documentos judiciais citados na cobertura traduzem a sigla CUC como 'undercover' certificado, mas isso é inferência a partir de rótulo.

A distância entre alegação e apuração está na natureza do número. A cobertura inicial fala em 'mais de 41 mil funcionários'. O que existe é um diretório de contas com 41.191 pessoas, incluindo ex-servidores e terceirizados. A NBC calcula 15% dos mais de 260 mil empregados diretos, e fala em quase um terço da força de trabalho do ICE. A DDoSecrets afirma que o arquivo não é uma lista completa e que identifica 'arquitetos e condutores' da política do DHS. Esse enquadramento é do publicador e deve ser lido como tal. Não achei auditoria de duplicatas ou contas inativas, por isso não trato 41.191 como número verificado de pessoas.

O ponto técnico em disputa é o Okta. O fornecedor disse à WIRED e à Reuters que o Okta é seguro e que não tem evidência de que seus dados ou sistemas foram comprometidos. Essa frase cobre a plataforma do fornecedor, não o tenant do DHS nem as credenciais de administradores. A Reuters não conseguiu corroborar a alegação sobre o Okta. Sem log, sem comunicado forense e sem aviso do fornecedor, o vetor é desconhecido. Veículos de baixa apuração tratam 'Okta' como fato; a origem dessa afirmação é só o grupo e a DDoSecrets.

Contexto e motivação: o grupo já havia atacado o DHS em março, com dados de contratos, e liga o episódio atual à fala de Mullin de 17/07. A frase que acompanha o arquivo diz que 'eles têm nossas informações, então é justo que tenhamos as deles'. A NPR corrigiu a atribuição dessa frase: foi escrita pelo Department of Peace, não pela DDoSecrets. Os publicadores negam que seja doxing, e os dados incluem e-mails e telefones de trabalho, que o Bluesky trata como informação pessoal não autorizada. Isso é debate de política editorial. Para CTI, a questão é o uso operacional do mapa de permissões por terceiros hostis, e não só o nome de quem aparece.

Não consegui abrir a matéria do CISO Advisor que consta no registro, então não a uso como fonte. O conteúdo vem das fontes listadas abaixo.

Estão expostos nome, cargo, e-mail e telefone de trabalho, escritório, hierarquia e grupos de acesso de cerca de 41 mil contas do DHS e de sete componentes, entre eles CBP, ICE/HSI, USCIS e CISA. Segundo a cobertura, são cerca de 21 mil do CBP, cerca de 10 mil do ICE e quase mil da CISA. As pessoas ficam sujeitas a phishing dirigido, assédio e engenharia social contra suas contas e dispositivos, como alertou o ex-funcionário do DHS Thomas Warrick à CNN. Para o DHS, a lista de grupos e membros revela quem opera ferramentas de investigação e vigilância. O DHS não anunciou notificação de afetados nem medidas formais. Não há impacto apurado sobre o Brasil.