Un site web consacré aux fuites publie des données concernant des dizaines de milliers d'employés du DHS
par Raphael Satter et AJ Vicens
WASHINGTON, 28 octobre (Reuters) - Le site web spécialisé dans les fuites « Distributed Denial of Secrets » a déclaré mercredi (link) avoir publié des données concernant plus de 40 000 employés du Département de la Sécurité intérieure (DHS), y compris des informations détaillées sur des fonctionnaires travaillant dans des domaines sensibles tels que la surveillance et le renseignement humain.
Le DHS n’a pas répondu aux nombreux messages lui demandant de commenter cette affaire.
Cette divulgation — qui, selon l’association à but non lucratif , spécialisée dans la transparence des données, s’appuie sur des informations obtenues par une entité se faisant appeler « Department of Peace » — constitue la troisième fuite majeure de données gouvernementales à avoir fait la une de l’actualité au cours du dernier mois.
En septembre, le groupe de pirates informatiques ShinyHunters a revendiqué le vol (link) d’une énorme quantité de données provenant du Federal Bureau of Investigation (FBI), comprenant notamment des informations professionnelles sensibles et des données médicales concernant des milliers d’employés du Bureau. La semaine dernière, le ministère de la Défense a fait l’objet d’un recours collectif (link) à la suite d’une faille de sécurité qui a exposé les données de millions de militaires en service et à la retraite.
Les données du DHS comprennent les noms, numéros de téléphone et adresses e-mail des employés de l’Immigration and Customs Enforcement (ICE), de la Customs and Border Protection (CBP), du Homeland Security Investigations (HSI), de la Cybersecurity and Infrastructure Security Agency (CISA) et d’autres agences relevant du DHS.
Les données comprenaient également les intitulés de poste et les groupes de messagerie, qui, entre autres détails, indiquaient quels agents étaient affectés à des opérations spéciales, à des missions de surveillance, à la criminalistique informatique et à des missions d’infiltration.
Dans un communiqué, Emma Best, cofondatrice de « Distributed Denial of Secrets », a déclaré que l’hacktiviste connu sous le nom de « maia arson crimew » avait développé un outil de recherche permettant au public de parcourir ces données. Mme Best a ajouté que cet outil "remplacerait l’anonymat par la responsabilité" et donnerait plus de moyens aux journalistes, faciliterait les demandes d’accès aux documents publics et renforcerait le contrôle exercé par le Congrès.
Le Département de la Paix n’a pas immédiatement répondu à une demande de commentaire, mais dans un communiqué joint aux données, il a déclaré que les employés du DHS "disposent de nos informations, il est donc normal que nous disposions des leurs" et qu’il espérait que ces données "puissent être utilisées pour limiter les dommages supplémentaires causés par le DHS et soutiennent tous les efforts allant dans ce sens".
En mars, le "Département de la Paix" a revendiqué (link) le piratage du DHS et la publication de documents relatifs à des contrats avec des prestataires externes.
Dans sa déclaration, Best a indiqué que le "Département de la Paix" avait récupéré les données à partir du service d’authentification Okta OKTA.O utilisé par le DHS. Reuters n’a pas pu corroborer immédiatement cette affirmation. En réponse à une demande de Reuters, Okta a déclaré: "Okta est sécurisé, et nous n’avons aucune preuve que nos données ou nos systèmes aient été compromis."
Reuters n’a pas pu vérifier immédiatement l’authenticité de l’ensemble de cette mine de données, mais a pu recouper les informations personnelles concernant six employés du DHS cités dans la fuite avec les registres des agences de crédit et les données de violation hébergées par la plateforme de renseignement du dark web District 4 Labs. Reuters a contacté directement trois employés du DHS et a pu confirmer leurs numéros de téléphone ainsi que d’autres détails. L’un d’entre eux a déclaré que c’était la première fois qu’il entendait parler d’une violation.
Dans plusieurs cas, les données correspondaient à des informations disponibles sur les profils LinkedIn des employés du DHS. Mais dans d’autres cas, elles révélaient des informations non publiques concernant les organigrammes internes du DHS ou des programmes et opérations jusqu’alors non divulgués.
(Dans l'intérêt des personnes dont l'anglais n'est pas la langue maternelle, Reuters automatise la traduction de ses articles dans un certain nombre d'autres langues. Étant donné que la traduction automatique peut générer des erreurs ou ne pas inclure le contexte nécessaire, Reuters ne garantit pas l'exactitude du texte traduit automatiquement, mais fournit ces traductions uniquement pour la commodité de ses lecteurs. Reuters décline toute responsabilité en cas de dommages ou de pertes de quelque nature que ce soit causés par l'utilisation de la fonction de traduction entièrement automatisée.)