美国国土安全部逾4万员工信息泄露，黑客称攻破Okta登录系统

美国国土安全部（DHS）超过4万名雇员的姓名、职务、工作邮箱、手机号码和办公地点等身份信息被公开在互联网上，涉及边境执法人员、网络安全人员和部门高层。

一名自称“和平部”的黑客声称，这些数据取自国土安全部使用的Okta单点登录系统。这是近几个月来美国政府遭遇的又一起大规模数据泄露。

被公开的记录超过4万条，而国土安全部员工总数约22万人，泄露规模相当于其员工总数的约五分之一。

其中超过2.1万条记录属于美国海关与边境保护局（CBP）的员工，这些人分布在机场和其他入境口岸工作。另有约1万条记录关联移民与海关执法局（ICE）及其国土安全调查部门（HSI）。

近1000条属于网络安全和基础设施安全局（CISA）。其余记录涉及国土安全部总部、美国公民及移民服务局和联邦保护局等机构的工作人员。

“和平部”称，数据取自国土安全部用于统一登录的Okta单点登录系统。该系统让不同机构的员工和承包商通过一个入口访问内部网络。

系统同时保存着账户的IT记录和登录信息，包括每个人被允许访问哪些系统和内部应用。这类身份目录一旦泄露，等于交出一份内部组织架构图。

Okta方面回应称，公司系统是安全的，没有证据表明其数据或系统遭到入侵。这一说法与黑客的声称形成矛盾。

数据泄露究竟发生在单点登录的配置环节、第三方集成，还是终端设备上，目前没有公开结论。Okta曾在2022年遭到Lapsus$黑客组织攻击，2023年又披露客户支持系统被入侵，这家身份认证巨头多次成为攻击目标。

身份认证服务商处在企业与员工之间的关键位置。它本身不存储业务数据，却掌管着“谁能进门”的钥匙。正因如此，攻击者对其兴趣远高于普通业务系统——攻破一个入口，就能横向触及成百上千个下游客户。

Okta否认系统被入侵，但否认本身并不能解释数据为何出现在网上。对外界来说，更需要追问的是：单点登录的信任链条上，究竟哪一环断掉了。

国土安全部发言人在事件曝光后表示，该部门已知晓一起潜在的泄露事件，正在迅速有效地处理，并将适时向公众更新信息。

这批国土安全部员工数据还暴露出员工在部门内网中的用户组归属，相当于一张内部权限地图。多数员工属于可访问微软365云服务的用户组，该服务承载着部门的邮件和文件。

还有人属于Adobe Acrobat、Citrix等常用办公软件的访问组。约4500名用户——包括ICE探员和遣返官员——属于一个名为“Headspace_users”的组。

Headspace是一家在线心理健康服务商，曾在2023年结束一份价值8.25万美元的联邦合同，向ICE遣返部门员工提供心理健康软件。该公司表示自2023年起未再向国土安全部或ICE提供服务。

数十个其他用户组与网络监控公司Penlink有关。该公司声称其技术能追踪数亿部移动设备的位置数据，并与ICE有多年合同。

其中一个组专门指向Penlink PLX产品，据称用于从通话、短信、网页活动和社交媒体中捕捉和分析实时情报。还有一个组包含200多名CBP用户，关联人脸识别应用Mobile Fortify。

该应用被CBP和ICE用来识别人员并核验其身份与移民身份。用户组中也能看到与ChatGPT访问权限相关的员工，包括国土安全部高层。

此外还有涉及对“盐台风”和“伏特台风”等中国相关黑客组织调查的组。这些细节让泄露从个人信息事件升级为安全情报事件。

每份记录的时间戳表明，这些员工目录数据大约在8月中旬被导出。数据集被提供给记者兼黑客maia arson crimew，随后由公益泄露数据平台DDoSecrets公开。

TechCrunch通过比对多名已知国土安全部员工的姓名，验证了部分数据的真实性。在调查记者和透明倡议者眼中，这些邮箱和电话是实用工具。

透明非营利组织Property of the People执行主任Ryan Shapiro表示，邮箱地址和电话号码是信息自由法研究者不可或缺的工具，往往决定一份记录申请是被搁置还是取得结果。

美国中期选举临近，国土安全部的驱逐和拘留行动已成为选举季的争议议题。泄露数据中ICE探员的邮箱和电话，可能被用于信息自由法申请、国会问询和法律诉讼。

DDoSecrets联合创始人Emma Best称，这批数据将成为调查的催化剂。数据本身不会改变政策，但它降低了外界追问的门槛——过去需要层层审批才能拿到的联系人名单，现在躺在公开服务器上。

这已是近期美国政府系列泄露事件中的最新一起。此前FBI数千名探员的人事记录、五角大楼人力资源部门数百万现役和退役军人的个人信息先后被窃。

今年早些时候，同一名黑客还声称拿走了国土安全部与私营部门之间的数千份合同，涉及国防承包商和监控供应商。

把这几起事件放在一起看，攻击者盯上的往往不是某个高度设防的数据库，而是身份认证、人力资源、合同管理这类“入口型”系统。

一个账号目录被拖走，拿到的不是几份文件，而是一张标明谁在哪、能进哪扇门的地图。后续的钓鱼攻击、权限冒用和内部网络侦察都会因此变得更容易。

说起密码，我想起大学宿舍那个路由器。室友图省事，把WiFi密码设成了自己的生日，还随口告诉过隔壁寝室。结果整层楼都连上了，晚上网速卡得连视频都刷不动，我们还互相怀疑是谁在偷偷下载。

后来查后台，连进来的设备名单长得像一张班级花名册。当时觉得又好气又好笑，现在看几万名政府雇员的手机号和邮箱整整齐齐挂在网上，忽然觉得我们那点尴尬不算什么。

可转念一想，连国土安全部的单点登录系统都能被人摸进去把通讯录连锅端走，普通人把密码改得再复杂，到底能拦住谁呢？

眼下，导致泄露的漏洞是否已经修复、国土安全部在多大范围内知情，都还没有明确答案。可以确定的是，当身份系统本身成为攻击面，受影响的远不止被公开的4万个名字。