🗓️ Contexte

Article publié le 28 octobre 2026 par TechCrunch (Zack Whittaker). Il rapporte une violation de données non divulguée précédemment, survenue au sein du Department of Homeland Security (DHS) américain, avec exfiltration estimée autour de mi-août 2026.

🎯 Nature de l’incident

Un acteur malveillant opérant sous le pseudonyme “Department of Peace” a compromis un système Okta Single Sign-On (SSO) utilisé par le DHS pour centraliser les accès de ses employés et contractants. Les données exfiltrées ont ensuite été publiées en ligne.

📊 Données compromises

Les données concernent plus de 40 000 employés du DHS, soit environ un cinquième de l’effectif total (~220 000 agents) :

  • ~21 000 enregistrements : agents de U.S. Customs and Border Protection (CBP)
  • ~10 000 enregistrements : employés d’Immigration and Customs Enforcement (ICE) et de l’unité HSI
  • ~1 000 enregistrements : personnel de la CISA
  • Milliers d’autres : siège du DHS, USCIS, Federal Protective Service

Les données incluent : noms, titres de poste, adresses email professionnelles, numéros de téléphone mobile, localisations de bureau, enregistrements IT et de connexion, appartenance aux groupes Active Directory.

🔍 Informations sur les accès révélés

Le dataset expose également les groupes d’accès Active Directory des employés :

  • Microsoft 365 : majorité des employés
  • Adobe Acrobat, Citrix : logiciels bureautiques courants
  • Headspace (~4 500 utilisateurs ICE) : outil de santé mentale (contrat terminé en 2023)
  • Penlink PLX (jusqu’à 2 000+ utilisateurs HSI) : outil de surveillance web, localisation mobile, analyse temps réel d’appels/SMS/activité web/réseaux sociaux
  • Mobile Fortify (~200 utilisateurs CBP) : application de reconnaissance faciale
  • ChatGPT : accès pour certains hauts responsables DHS
  • Groupes liés aux enquêtes sur Salt Typhoon et Volt Typhoon

🔗 Chaîne de diffusion

Les données ont été transmises à la journaliste et hackeuse maia arson crimew, qui les a partagées avec DDoSecrets, collectif à but non lucratif hébergeant des datasets d’intérêt public. TechCrunch a vérifié l’authenticité d’une partie des données.

🏛️ Réactions officielles

  • DHS : confirme être au courant d’une potentielle violation et travailler à y remédier
  • Okta : affirme que ses systèmes ne sont pas compromis et qu’aucune preuve de compromission n’a été trouvée
  • Penlink : pas de réponse
  • Headspace : confirme ne plus fournir de services au DHS/ICE depuis 2023

📌 Contexte élargi

Cet incident s’inscrit dans une série de violations récentes touchant le gouvernement américain : vol de données de milliers d’agents du FBI et de millions de militaires depuis l’unité RH du Pentagone. Il s’agit également du second incident impliquant le DHS cette année, le même acteur ayant précédemment revendiqué le vol de contrats entre le DHS et des prestataires privés.

📰 Type d’article

Article de presse spécialisée à visée informative, rapportant un incident de sécurité confirmé partiellement, avec vérification journalistique partielle des données.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Department of Peace (hacktivist) —

TTP

  • T1078 — Valid Accounts (Initial Access)
  • T1530 — Data from Cloud Storage (Collection)
  • T1087.002 — Account Discovery: Domain Account (Discovery)
  • T1567 — Exfiltration Over Web Service (Exfiltration)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ✅ techcrunch.com — source reconnue (liste interne) (20pts)
  • ✅ 9389 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 4 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Department of Peace (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://techcrunch.com/2026/10/28/hacker-stole-personnel-data-about-thousands-of-homeland-security-employees-including-cbp-and-ice-agents/