Diretório interno do DHS vaza; origem via Okta é contestada
Departamento de Segurança Interna dos EUA (DHS)
alegado el · verificado el
O vazamento é real: o diretório de funcionários e contratados do DHS, apelidado de Icepick, foi publicado em 28/10/2026 e o DHS reconhece uma 'potencial violação'. O que continua sem prova é o vetor (Okta, segundo o grupo, que Okta nega) e a lista completa do que foi levado. O registro atual do caso (país BR, sem setor, sem ator) está errado nesses pontos.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O conjunto de dados é genuíno em grande parte. Descarta-se bluff e reciclagem de base antiga. Em sentido contrário: nenhuma fonte independente apontou inconsistência relevante, e o DHS não contestou a autenticidade, apenas falou em 'potencial violação'. Seria desmentido se o DHS ou uma análise técnica independente mostrasse que parte substancial dos registros é fabricada ou vem de fonte pública.
O número de '40 mil' não é uma alegação inflada de criminoso. É a contagem de linhas do arquivo publicado: 41.191 pessoas, entre funcionários e contratados, segundo contagens de Help Net Security e BBC. O DHS não confirmou o número. A manchete 'dados do DHS atinge a defesa dos EUA' mistura o DHS com a Defesa. O que se vê nos dados é o próprio DHS, mais um grupo pequeno de contas ligadas a apoio militar em instalações do ICE (citado pelo Olhar Digital).
A tese de que os dados saíram de um serviço de SSO Okta usado pelo DHS é alegação do grupo, repetida pela DDoSecrets, e não está demonstrada. A Okta diz não ter evidência de comprometimento de seus sistemas ou dados, e o DHS não explicou o vetor. A estrutura do arquivo (nome, supervisor, mais de 55 mil grupos) é compatível com exportação de um diretório de identidade. Isso não distingue entre falha na plataforma do fornecedor, credencial ou token de administrador do DHS, ou acesso por terceiro. Seria desmentido por um post-mortem do DHS ou da Okta apontando outro sistema de origem.
O risco concreto é operacional e vai além do nome. O arquivo liga pessoas a cadeias de comando e a grupos de acesso, alguns com nomes que remetem a operações sob cobertura, interceptação e ferramentas de vigilância. Isso serve para engenharia social (personificar supervisores), perseguição e mapeamento de pessoal. Pertencer a um grupo não prova designação atual nem uso de uma ferramenta, e as leituras 'agente infiltrado' feitas pela imprensa são inferência sobre rótulos de grupo.
Não se trata de extorsão nem de cibercrime com motivação financeira. O grupo se apresenta como ativista, justifica o ato como resposta à política de imigração e à fala do secretário do DHS em 17/07, e entregou os dados a um coletivo de transparência. A motivação é declarada pelo próprio ator, sem corroboração independente. A intenção não altera o dano possível aos expostos.
O mesmo grupo foi apontado em outro vazamento ligado ao DHS poucos dias antes: dados de contratos do DHS/ICE com mais de 6.000 empresas, atribuídos por ele ao Office of Industry Partnership. Isso sugere mais de uma fonte de acesso ou acesso persistente. Se os dois casos têm origem comum ou foram mais de um acesso, é dado que nenhuma fonte lida estabelece.
Análisis
O que cada parte afirma. O ator, o Department of Peace, diz ter extraído os dados de um serviço de SSO Okta do DHS. Entregou o material à DDoSecrets e à pesquisadora suíça maia arson crimew, que montou uma ferramenta de busca (descrição da própria DDoSecrets e da NPR). A DDoSecrets descreve o conteúdo como nomes, escritórios, contatos e atribuições de mais de 41 mil pessoas. Seu cofundador, Emma Best, diz que não é um diretório indiscriminado de todos os funcionários, mas uma seleção de 'arquitetos e condutores' de política e operações. É uma caracterização do divulgador, que tem interesse na narrativa. Best também afirma que o arquivo não tem endereços residenciais, e essa afirmação não foi verificada por terceiros.
O que a vítima admite. O DHS disse ao Washington Post e à The Hill estar ciente de uma 'potencial violação' e trabalhando para resolvê-la. Não confirmou autenticidade, número, vetor nem escopo, e não nos consta comunicado formal além dessa frase. A Fox News cita fontes que descrevem o incidente como 'catastrófico' e dizem que várias delas confirmaram a autenticidade de partes dos dados. Essas fontes são anônimas, e por isso o selo é 'corroborated', não 'confirmed'. Não localizamos manifestação de regulador. O DHS é a própria agência federal responsável, e não há equivalente à ANPD ou à SEC aplicável da mesma forma.
O número. Nenhum ator alegou um total. O '40 mil' vem da contagem do arquivo: 41.191 linhas, segundo Decrypt e Help Net Security. A WIRED vê mais de metade como CBP, cerca de 10 mil como ICE (um terço em HSI), cerca de 6.200 no USCIS e quase 1.000 na CISA, mais da metade destes contratados. Divergência: a BBC conta cerca de 21 mil na CBP e quase 6.600 no ICE, contra os cerca de 10 mil no ICE da WIRED e da Fox. Uma explicação possível, e é inferência nossa, é que a BBC separe o HSI do restante do ICE (6.598 mais cerca de 3.300 de HSI chega perto de 10 mil). Nenhuma fonte lida confirma isso. A WIRED estima que o conjunto cubra cerca de um sétimo da força de trabalho do DHS, e a NBC fala em 15% de mais de 260 mil. O arquivo não cobre todo o DHS e mistura funcionários e contratados. Por isso 'mil agentes' é uma leitura errada do que foi publicado.
O vetor é a principal lacuna. A Okta disse à Reuters (via Decrypt) que não tem evidência de que seus dados ou sistemas foram comprometidos. A IBTimes e o Yahoo/Help Net registram que o método de acesso não foi estabelecido de forma independente. A estrutura do arquivo (hierarquia de supervisão, mais de 55 mil grupos de acesso, última atualização em 19/08) combina com uma exportação de diretório de identidade. A NPR relata que os hackers dizem ter subvertido o SSO do DHS. Isso é compatível com várias hipóteses, nenhuma comprovada: falha na plataforma do fornecedor, credencial ou token de administrador do DHS, ou acesso por um terceiro. Fique com a expressão do fornecedor: a negativa da Okta é ausência de evidência, e não prova de que o tenant do DHS não foi acessado.
O que os dados sustentam e o que não sustentam. Nomes de grupos como 'CUC' (segundo a imprensa, sigla de operação disfarçada certificada em autos judiciais, com 39 pessoas em HSI) e referências a Signal, Mobile Fortify, Palantir e PenLink são rótulos administrativos. Eles indicam pertencimento a um grupo de permissão, não função atual nem acesso efetivo. A própria cobertura técnica faz essa ressalva. É por isso que o risco de 'identificação de infiltrados' tem de ser lido como possível, e não como demonstrado para cada pessoa listada.
Correção do nosso registro. (1) País: o registro diz BR; a vítima é dos EUA (US). (2) O título do registro funciona como manchete, e a vítima é o DHS, com setor Governo. (3) Ator: o registro está vazio. O grupo que reivindica é o Department of Peace, descrito por NBC e Fox como ativistas antifascistas, o que é autodescrição. (4) Data: 28/10, e não 29/10, é a data de publicação; 29/10 é a data do Olhar Digital. (5) Selo e veredito: 'claimed/unverified' ficou aquém da evidência, que é 'corroborated/real'. Há convergência de WIRED, CNBC (que acessou a base), Fox (fontes de governo) e do reconhecimento parcial do DHS. (6) A manchete que ligava o caso à 'defesa dos EUA' extrapola o que vimos nas fontes. O Olhar Digital menciona cerca de 170 contas ligadas a apoio militar em instalações do ICE; lemos só um trecho dessa matéria e não conseguimos verificar a afirmação por outra fonte.
Contexto. O caso se soma a outras exposições de pessoal do DHS em
2026. A Wikipedia registra, em janeiro, um vazamento de dados de cerca de 4.500 funcionários da CBP e do ICE ligado ao site 'ICE List'. A TechCrunch relata que o mesmo grupo foi apontado em outro vazamento, de contratos do DHS/ICE com mais de 6.000 empresas. Em nenhum desses casos nenhuma fonte lida demonstra ligação técnica com o Icepick.
Cronología
- 17 jul 2026Data da fala atribuída ao secretário do DHS, Markwayne Mullin, sobre 'aumentar a pressão nas ruas'. O grupo cita a fala como motivo do vazamento (CNBC).
- 19 ago 2026Data da última atualização dos registros do arquivo, segundo análise da WIRED relatada por TNW.
- 28 oct 2026A DDoSecrets publica o conjunto Icepick (41.191 registros) e a WIRED divulga a análise. Um porta-voz do DHS diz estar ciente de 'potencial violação' e trabalhando para resolvê-la.
- 29 oct 2026Cobertura em escala (CNBC, Gizmodo, Help Net Security). O Olhar Digital publica a matéria que originou nosso registro. O TNW informa que o DHS enviou notificação de remoção e que o Bluesky bloqueia links.
Datos involucrados
Impacto
Estão expostos 41.191 funcionários e contratados do DHS, cobrindo CBP, ICE (incluindo HSI), USCIS, CISA e outras unidades. Os dados são nomes, e-mails corporativos, telefones, cargos, locais de trabalho, supervisores e nomes de grupos de permissão, com ferramenta de busca pública. Na prática, o risco é de assédio, engenharia social contra pessoal e seus contatos, e mapeamento de cadeias de comando e de programas sensíveis. Não há evidência nas fontes lidas de dano concreto a uma pessoa específica, nem de endereços residenciais. Os contratados da CISA (mais da metade dos cerca de 1.000 registros) estão no arquivo, o que alcança o setor privado que atende o DHS. Não há titular brasileiro identificado nas fontes lidas.
Recomendaciones
- Provedores de identidade (IdP) e SSO: audite tokens de API e contas de administrador com permissão de leitura de usuários e grupos, revogue os inativos e restrinja a enumeração em massa do diretório. Alerte para chamadas de listagem de usuários e grupos fora do padrão.
- Evite nomes de grupos de permissão que descrevam programas sensíveis (operações encobertas, interceptação, ferramentas de vigilância). Use identificadores opacos e mantenha o mapeamento no sistema de autorização, não no diretório.
- Organizações que prestam serviço ao DHS ou à CISA: avise equipes e contratados listados, reforce verificação por canal alternativo (retorno de chamada) para pedidos que citem supervisores ou cadeias de comando, e monitore phishing com nomes e cargos reais.
- Revise sessões e logs do tenant de SSO por exportações de diretório e uso de credenciais administrativas desde meados de agosto de 2026, que é a data dos dados. Compare com os logs de acesso por IP e agente de usuário.
- Reduza os atributos expostos por padrão no diretório corporativo (telefone móvel, supervisor, localização) para quem não precisa deles, e aplique o mínimo necessário nas integrações que leem o diretório.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Vetor de acesso desconhecido. Um relatório técnico do DHS, da Okta ou de terceiro com acesso aos logs resolveria.
O DHS não confirmou autenticidade, número nem escopo. Um comunicado formal ou resposta a perguntas do Congresso resolveria.
Não se sabe se o arquivo traz mais campos do que a imprensa descreveu, nem se os endereços residenciais estão realmente ausentes. Uma análise independente do arquivo completo resolveria.
Divergência nos números de ICE (cerca de 6.600 contra cerca de 10 mil) sem explicação documentada. A metodologia da BBC e da WIRED resolveria.
Não se sabe se existe relação técnica com o vazamento de contratos do DHS/ICE atribuído ao mesmo grupo. A confirmação do DHS ou a análise do material resolveria.
Não se sabe quantos registros estão desatualizados ou foram removidos desde 19/08/2026. Verificação cruzada com o DHS resolveria.
Não sabemos se o 'cerca de 170 contas ligadas a apoio militar' do Olhar Digital se sustenta. A leitura da matéria completa ou do próprio arquivo resolveria.
Não se sabe se houve exploração adicional por outros atores após a publicação. Telemetria de phishing contra o pessoal listado resolveria.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.