Изтекоха данните на 41 000 служители на DHS

В сряда, 28 октомври, в интернет се появи търсима база данни с личните и служебните детайли на над 41 000 настоящи и бивши служители и подизпълнители на Министерството на вътрешната сигурност на САЩ (DHS). Публикацията е на организацията с нестопанска цел Distributed Denial of Secrets (DDoSecrets), която е нарекла набора от данни Icepick, а зад самото изтичане стои хактивистка група, представяща се като „Department of Peace“. Случаят е описан от Engadget, TechCrunch и Nextgov/FCW.

Какво има в базата

Записите съдържат имена, длъжности и служебни контакти — електронни адреси, служебни мобилни номера и адреси на офисите. По-чувствителната част обаче не са контактите, а метаданните: вътрешните групи, в които е член всеки акаунт, и правата му за достъп до системи. Именно от тях, според Nextgov, става ясно кои служители работят по наблюдение, компютърна форензика и под прикритие.

Разбивката по агенции изглежда така:

• над 21 000 записа на служители на Customs and Border Protection (CBP) — хората по летищата и граничните пунктове;
• около 10 000 на Immigration and Customs Enforcement (ICE), като приблизително една трета от тях са в следственото подразделение Homeland Security Investigations (HSI);
• под 1000 на Агенцията за киберсигурност и сигурност на инфраструктурата (CISA);
• останалите хиляди са разпределени в други звена на DHS, включително висши служители на министерството.

За мащаб: DHS има щат от порядъка на 220 000 души, така че изтичането обхваща значителна част от цялата организация.

Снимка: U.S. Immigration and Customs Enforcement

Откъде са данните — и спорът с Okta

Групата твърди, че е извлякла информацията от системата за единен вход (single sign-on) на Okta, която DHS използва, за да дава на служителите и подизпълнителите си достъп до централната мрежа. Описанието включва и IT логове от тази система, което обяснява наличието на групови членства и права.

Okta отрича проблемът да е при нея. „Okta е сигурна и нямаме доказателства, че наши данни или системи са били компрометирани“, заявява компанията. Това не е непременно противоречие: достъп до данните в tenant-а на даден клиент може да бъде получен и с открадната администраторска сесия или компрометиран служебен акаунт, без самата платформа да е пробита. Коя от двете версии е вярна, засега не е потвърдено от независима страна.

DHS за момента е пестеливо: министерството съобщи, че е „запознато с потенциален пробив и активно работи по ситуацията бързо и ефективно“, и обеща да даде повече информация.

Мотивът

Групата не крие политическия характер на акцията. В изявлението си тя се позовава на изказване от 17 юли на министъра на вътрешната сигурност Марквейн Мълин, че ICE „покачва температурата по улиците“, и добавя: „Това се случва с ICE, когато го правите.“ Втората фраза е още по-пряма — „Те разполагат с нашата информация, така че е справедливо и ние да разполагаме с тяхната.“

Самата група не е отговорила на запитвания от медиите.

Защо това е различно от обикновен пробив

При изтичане на потребителска база основният риск е финансова измама. Тук рискът е физически и операционен. Списък, който свързва конкретно име с конкретна длъжност, офис и роля в програма за наблюдение или работа под прикритие, върши две неща наведнъж: прави служителите мишена за заплахи и преследване, и дава на всеки, който проявява интерес, карта на това как е устроена агенцията отвътре.

Това не е и първият подобен случай. През януари 2026 г. данните на около 4500 агенти на Граничния патрул и ICE се появиха в сайта ICE List, а още през юни 2025 г. сенатор Марша Блекбърн внесе законопроект (Protecting Law Enforcement from Doxxing Act) точно срещу такова публикуване. Разликата в мащаба сега е близо десетократна.

Любопитна подробност е, че сред засегнатите е и CISA — агенцията, която издава задължителните директиви за киберсигурност към останалите федерални структури и наскоро даде срок до 10 ноември за кръпка срещу Node2Shell. Същото министерство преди дни нареди премахването на DeepSeek от всички федерални цивилни системи заради риск за данните.

Заключение

Фактите, които са твърди към момента: базата е публична от 28 октомври, съдържа над 41 000 записа, разпределени предимно в CBP и ICE, и включва служебни контакти плюс информация за роли и достъпи. Отворените въпроси са два — дали входната точка наистина е Okta, и по какъв начин DHS ще реагира практически, защото служебен телефон и офис се сменят, но името и длъжността остават. Очаквайте министерството да излезе с по-подробно изявление през следващите дни; дотогава всяка оценка на пълния обхват е прогноза, а не констатация.