Objavljeni podaci više od 40.000 zaposlenih u DHS
Podaci o više od 40.000 zaposlenih u američkom Ministarstvu unutrašnje bezbednosti, DHS, objavljeni su na mreži nakon krađe iz sistema za jedinstvenu prijavu Okta, kako tvrdi napadač pod pseudonimom Department of Peace. Među zapisima se nalazi oko 21.000 zaposlenih u Carinskoj i graničnoj zaštiti SAD, CBP, oko 10.000 zaposlenih u ICE i jedinici HSI, kao i nešto manje od 1.000 zaposlenih u agenciji CISA.
Skup podataka sadrži imena, radna mesta, službene imejl adrese, brojeve mobilnih telefona i lokacije kancelarija. Navodno obuhvata i IT zapise povezane sa korisničkim nalozima, uključujući informacije o sistemima i internim aplikacijama kojima korisnici mogu pristupiti.
Obim incidenta i pitanje identitetske bezbednosti
Vremenske oznake u zapisima ukazuju da je iznošenje podataka verovatno obavljeno sredinom avgusta. Broj kompromitovanih zapisa odgovara približno petini radne snage DHS-a, koji zapošljava oko 220.000 ljudi. Autentičnost dela podataka proverena je poređenjem imena poznatih zaposlenih sa lokalnom kopijom baze.
Nije razjašnjeno da li je ranjivost koja je omogućila incident otklonjena, niti da li je DHS bio upoznat sa krađom podataka. Okta je saopštila da zna za izveštaj i da nema dokaze da su njeni podaci ili sistemi kompromitovani.
Ovaj slučaj pokazuje koliko identitetski sistem može biti vredan cilj: centralizovana prijava olakšava rad zaposlenih i ugovornih saradnika, ali zapisi o nalozima, grupama i ovlašćenjima mogu napadaču dati detaljan pregled organizacione strukture i dostupnih resursa.
Pristupne grupe otkrivaju korišćene alate
Objavljeni zapisi navodno sadrže članstva u Active Directory grupama koje upravljaju pristupom internim alatima, servisima i ponudama trećih strana. Većina obuhvaćenih korisnika bila je povezana sa Microsoft 365, kao i sa Adobe Acrobat i Citrix alatima.
U podacima se pojavljuje oko 4.500 korisnika iz grupe Headspace_users, uključujući agente ICE i službenike za deportacije. Headspace je ranije imao ugovor sa ICE vredan 82.500 dolara, okončan 2023. godine, a kompanija je navela da od tada ne pruža usluge DHS-u ili ICE-u.
Pronađene su i grupe koje pominju Penlink, kompaniju za veb nadzor, kao i Penlink PLX. Jedna grupa obuhvata više od 200 korisnika CBP povezanih sa aplikacijom Mobile Fortify za prepoznavanje lica, dok se u zapisima vide i korisnici povezani sa pristupom ChatGPT-u i grupama koje se odnose na Salt Typhoon i Volt Typhoon.
Praktična pouka za organizacije
Incident potvrđuje da zaštita identiteta nije ograničena na lozinke i višefaktorsku autentifikaciju. Organizacije treba da redovno pregledaju pristupne grupe, primenjuju princip najmanjih privilegija, nadziru neuobičajeno izvoženje direktorijumskih podataka i unapred utvrde postupak za slučaj kompromitovanja poslovnih kontakata i informacija o ovlašćenjima.
Za poslovanje je najvažnije da se centralni sistemi identiteta tretiraju kao kritična infrastruktura: pregled prava pristupa, evidencija izmena i brz odgovor na sumnjive aktivnosti smanjuju posledice čak i kada dođe do izlaganja podataka.