Un sito web dedicato alle fughe di notizie pubblica i dati relativi a decine di migliaia di dipendenti del DHS
di Raphael Satter e AJ Vicens
WASHINGTON, 28 ottobre (Reuters) - Il sito web dedicato alle fughe di notizie Distributed Denial of Secrets ha detto mercoledì (link) di aver pubblicato i dati relativi a oltre 40.000 dipendenti del Dipartimento per la Sicurezza Interna (DHS), compresi i dettagli sui funzionari che operano in settori sensibili quali la sorveglianza e l’intelligence umana.
Il DHS non ha risposto immediatamente a una richiesta di commento.
La divulgazione — che secondo il gruppo no profit per la trasparenza dei dati si basa su informazioni ottenute da un’entità che si autodefinisce “Department of Peace” — rappresenta la terza grande fuga di dati governativi ad aver fatto notizia nell’ultimo mese.
A settembre, il gruppo di hacker ShinyHunters ha rivendicato il furto (link) di un’enorme quantità di dati dall’FBI (Federal Bureau of Investigation), tra cui dettagli sensibili relativi al lavoro e informazioni mediche di migliaia di dipendenti dell’agenzia. La scorsa settimana, il Dipartimento della Difesa è stato oggetto di un’azione legale collettiva (link) a seguito di una violazione che ha reso pubblici i dati di milioni di militari in servizio e in congedo.
I dati del DHS includono nomi, numeri di telefono e indirizzi e-mail dei dipendenti dell’Immigration and Customs Enforcement, della Customs and Border Protection, dell’Homeland Security Investigations, della Cybersecurity and Infrastructure Security Agency e di altre agenzie facenti parte del DHS.
Tra i dati figuravano anche le qualifiche professionali e i gruppi di posta elettronica, che, tra le altre informazioni, indicavano quali agenti fossero assegnati a operazioni speciali, attività di sorveglianza, informatica forense e operazioni sotto copertura.
In una dichiarazione, la cofondatrice di Distributed Denial of Secrets, Emma Best, ha affermato che l’hacktivista noto come “maia arson crimew” ha sviluppato uno strumento di ricerca per i dati che consentirà al pubblico di consultarli. Best ha detto che lo strumento “sostituirà l’anonimato con la responsabilità” e darà più potere ai giornalisti, orienterà le richieste di accesso ai documenti pubblici e rafforzerà il controllo del Congresso.
Il Dipartimento della Pace non ha risposto immediatamente a una richiesta di commento, ma in una dichiarazione allegata ai dati ha affermato che i dipendenti del DHS «possiedono le nostre informazioni, quindi è giusto che noi possediamo le loro» e che spera che i dati «possano essere utilizzati per limitare ulteriori danni da parte del DHS e sostengano tutti gli sforzi in tal senso».
A marzo il Dipartimento della Pace ha rivendicato la responsabilità (link) dell’attacco hacker al DHS e della pubblicazione di documenti relativi a contratti con fornitori esterni.
La dichiarazione di Best afferma che il Dipartimento della Pace ha raccolto i dati dal servizio di accesso OKTA.O di Okta utilizzato dal DHS. Reuters non ha potuto confermare immediatamente tale affermazione. Okta ha risposto a una richiesta di Reuters affermando: «Okta è sicuro e non abbiamo prove che i nostri dati o sistemi siano stati compromessi».
Reuters non ha potuto verificare immediatamente l’autenticità dell’intero corpus di dati, ma è riuscita a far corrispondere le informazioni personali relative a sei dipendenti del DHS citati nella fuga di notizie con i registri delle agenzie di credito e con i dati relativi alle violazioni gestiti dalla piattaforma di intelligence del dark web District 4 Labs. In altri casi, Reuters ha contattato direttamente tre dipendenti del DHS ed è riuscita a confermare i loro numeri di telefono e altri dettagli. Uno di loro ha affermato che era la prima volta che sentiva parlare di una violazione.
In diversi casi, i dati corrispondevano alle informazioni disponibili sui profili LinkedIn dei dipendenti del DHS. In altri casi, invece, i dati hanno rivelato informazioni riservate relative agli organigrammi interni del DHS o a programmi e operazioni finora non resi noti.
(A beneficio di chi non è di madrelingua inglese, Reuters automatizza la traduzione delle sue storie in una serie di altre lingue. Poiché la traduzione automatica può introdurre errori o non includere il contesto necessario, Reuters non garantisce l'accuratezza del testo tradotto automaticamente, ma fornisce queste traduzioni esclusivamente per la comodità dei suoi lettori. Reuters declina ogni responsabilità per danni o perdite di qualsiasi tipo causati dall'uso della funzione di traduzione completamente automatica.)