米国土安全保障省（DHS）の職員数千人分の個人識別情報が、今年初めに発覚した同省へのハッカー侵入により盗まれ、オンラインで公開されました。侵入はこれまで公表されていませんでした。
ポイント
- 米国土安全保障省の職員4万人以上の氏名、役職、勤務先連絡先が漏えい
- 被害者は国境警備局（CBP）や移民税関捜査局（ICE）の職員を含む
- ハッカーは「Department of Peace」を名乗り、Oktaのシングルサインオンシステムから入手したと主張
- データは約2万1000件がCBP職員に関連し、ICEとHSIで1万人、CISAで1000人弱
- 漏えいしたデータはジャーナリストを通じてDDoSecretsに共有された
漏えいの概要
米国土安全保障省の職員4万人以上の個人情報がオンラインで公開されました。氏名、役職、電子メールアドレス、携帯電話番号、勤務地などの勤務先連絡先が含まれます。
対象には国境警備局（CBP）や移民税関捜査局（ICE）の職員、サイバーセキュリティ要員、上級幹部が含まれます。
「Department of Peace」を名乗るハッカーは、同省が職員と請負業者のログインに使用するOktaのシングルサインオンシステムからデータを取得したと主張しています。このシステムには、職員のユーザーアカウントに関連するITおよびログイン記録も含まれ、どのシステムや内部アプリにアクセスが許可されているかの詳細も含まれます。
被害の規模
データセットの半数以上にあたる約2万1000件は、空港やその他の入国管理局で働くCBP職員に関連しています。
さらに、ICEとその国土安全保障捜査局（HSI）の職員1万人分、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の職員1000人弱の記録も含まれています。
その他数千件の記録は、同省本部や米国市民権・移民サービス局、連邦保護局などの職員に関連しています。
ハッカーはデータとともに残したメモで「彼らが私たちの情報を持っているのだから、私たちが彼らの情報を持つのは公平だ」と述べています。TechCrunchがこのメモを確認しました。ハッカーはTechCrunchのコメント要請や侵入方法に関する質問には応じていません。
政府機関への相次ぐ侵入
これは、最近数カ月で米政府を襲った最新のデータ侵害です。以前にはFBI職員数千人分の人事記録や、国防総省の人事部門から数百万の現役・退役軍人の個人情報が盗まれる事件がありました。また、今年に入って国土安全保障省に関わる2件目の侵害でもあります。同じハッカーが、国防請負業者や監視ベンダーを含む同省と民間部門との間の数千件の契約を盗んだと主張しています。
漏えいしたデータは本物のようで、国土安全保障省の規模と運用を垣間見ることができますが、完全ではありません。同省の指導部による米市民の強制送還、恣意的な拘禁、殺害は、来る米中間選挙を前に有権者の重要な関心事となっています。
盗まれた国土安全保障省のデータは、ジャーナリストでハッカーのmaia arson crimew氏に提供され、同氏が公共の利益のために漏えいデータセットを公開する非営利団体DDoSecretsにコピーを共有しました。
TechCrunchは、既知の国土安全保障省職員数人の名前をオフラインのデータベースと照合することで、データの一部が本物であることを確認しました。数千件の職員名簿レコードは、各人の記録のタイムスタンプによると、8月中旬頃に流出したようです。漏えいしたレコード数は、約22万人の国土安全保障省職員の約5分の1に相当します。
侵害を可能にした脆弱性が修正されたか、国土安全保障省がデータ盗難を認識しているかは不明です。
国土安全保障省の広報担当者は、TechCrunchのコメント要請にすぐには応じていません。
Oktaは、この報告を認識していると述べました。「Oktaは安全であり、当社のデータやシステムが侵害された証拠はありません」と広報担当者は述べています。
監視技術やサイバーセキュリティツールの実態も
漏えいデータには職員や警官の識別情報が含まれる一方で、国土安全保障省職員がアクセスできる監視技術やサイバーセキュリティツールに関する情報も明らかになっています。ICEに技術を資金提供または提供するテック企業に対する調査を求める声も上がっています。
漏えいデータには、同省の内部ツール、サービス、業務用サードパーティ製品へのアクセスを制御するActive Directory内のユーザーグループへの職員の所属情報が含まれています。
データセット内の国土安全保障省職員のほとんどは、同省のメールやファイルをホストするMicrosoft 365にアクセスできるユーザーグループのメンバーでした。また、Adobe Acrobat、Citrix、その他の一般的なデスクトップソフトウェアにアクセスするためのユーザーグループにも属していました。
データによると、ICEの警官や強制送還担当官を含む約4500人のユーザーが「Headspace_users」というグループのメンバーです。オンラインセラピー提供会社Headspaceは以前、ICEの強制送還部門であるERO職員に必要なメンタルヘルスソフトウェアを資金提供するため、2023年に終了した8万2500ドル（約1280万円）の連邦契約をICEと結んでいました。
Headspaceの広報担当者は、同社は2023年以降、DHSやICEにサービスを提供していないと述べています。
他にも数十のユーザーグループが、何億台もの携帯端末の位置情報を追跡できると主張する技術を提供する監視企業Penlinkを参照しています。Penlinkは長年ICEと契約しています。ユーザーグループの規模は、全国の国土安全保障省地方事務所の数人から、ICEのHSI部門全体で2000人以上までさまざまです。あるグループは特にPenlink PLXを参照しており、同社によると、電話、テキスト、ウェブ活動、ソーシャルメディアから「リアルタイムインテリジェンス」を収集・分析するために使用されています。
Penlinkの広報担当者はコメント要請に応じていません。
あるユーザーグループには、CBPとICEの両方の警官が人物を特定し、情報や移民ステータスを確認するために使用する顔認識アプリ「Mobile Fortify」に関連する200人以上のCBPユーザーも含まれています。
ユーザーグループには、ChatGPTアクセスに関連する数人の職員（DHS上級幹部を含む）や、中国支援のハッキンググループ「Salt Typhoon」と「Volt Typhoon」の調査に関連する他のグループも含まれています。
研究者や公共情報の擁護者らは、流出したデータが、トランプ政権による疑惑の虐待に関する調査に貴重な手がかりを提供する可能性があると述べています。例えば、情報公開法に基づく公文書請求で使用できる警官のメールアドレスを特定できることなどです。
「メールアドレスと電話番号は、FOIA研究者にとって不可欠なツールであり、漠然とした記録請求が妨害されるか結果を得られるかの違いをしばしば生みます」と、透明性非営利団体Property of the Peopleの執行役員ライアン・シャピロ氏は述べています。
「トランプ政権が基本的な透明性さえも軽視していることを考えれば、そのようなツールの必要性は緊急です」とシャピロ氏は述べています。
DDoSecretsの共同創設者でジャーナリストのエマ・ベスト氏は、流出した国土安全保障省のデータは「調査、ジャーナリストの強化、議会調査、法的異議申し立て、コミュニティ行動、情報公開法請求の触媒となる」と述べています。
