Jeśli nawet pracownicy amerykańskiego Departamentu Bezpieczeństwa Krajowego (DHS), instytucji odpowiedzialnej za ochronę kraju przed zagrożeniami, nie są bezpieczni przed hakerami, trudno nie zadać pytania, jak dobrze chronione są dane zwykłych obywateli. Grupa hakerska włamała się do systemów DHS, uzyskując dostęp do danych osobowych ponad 40 tysięcy pracowników, w tym funkcjonariuszy prowadzących tajne operacje. Ujawnione informacje obejmują nazwiska, numery telefonów i adresy.
Do ataku doszło w środę, a odpowiedzialność za niego wzięła grupa hakerskich aktywistów działająca pod nazwą Department of Peace. Jej przedstawiciele poinformowali, że uzyskali dostęp do danych poprzez obejście zabezpieczeń systemu jednokrotnego logowania (single sign-on), wykorzystywanego przez pracowników DHS.
Skradzione informacje zostały następnie przekazane organizacji Distributed Denial of Secrets (DDoSecrets), która opublikowała je w internetowej bazie danych o nazwie Icepick. Materiały trafiły również do amerykańskiego dziennikarza Ryana Ottignona oraz szwajcarskiej aktywistki znanej jako maia arson crimew. Wspólnie stworzyli oni wyszukiwarkę umożliwiającą przeglądanie ujawnionych danych.
Wśród ponad 40 tysięcy rekordów znajduje się przeszło 21 tysięcy dotyczących pracowników Urzędu Celnego i Ochrony Granic (CBP) oraz około 10 tysięcy związanych z Urzędem Imigracyjnym i Celnym (ICE) i jego jednostką śledczą Homeland Security Investigations (HSI).
Ujawnione informacje obejmują również osoby odpowiedzialne za nadzorowanie tajnych operacji oraz pracowników zaangażowanych w działania związane z zatrzymywaniem i deportacją imigrantów.
Dane funkcjonariuszy dostępne w internecie
Skala wycieku jest bezprecedensowa, choć ujawnione informacje dotyczą jedynie części personelu DHS. Departament zatrudnia ponad 220 tysięcy osób, co oznacza, że naruszenie bezpieczeństwa objęło dane dotyczące niemal jednej piątej jego pracowników.
Emma Best, współzałożycielka DDoSecrets, określiła wyciek jako wyjątkowy, choć zaskakująco prosty w swojej istocie. Jej zdaniem opublikowane dokumenty pozwalają powiązać konkretne osoby z tajnymi operacjami oraz działaniami związanymi z deportacjami.
Część aktywistów uważa, że ujawnione informacje mogą pomóc dziennikarzom i organizacjom społecznym w kontrolowaniu działalności federalnych służb. Dotychczas brak nazwisk czy adresów służbowych często utrudniał uzyskiwanie dokumentów na podstawie ustawy o dostępie do informacji publicznej (Freedom of Information Act).
Krytycy takich działań wskazują jednak na poważne zagrożenia wynikające z publikowania danych osobowych funkcjonariuszy, zwłaszcza tych prowadzących operacje pod przykryciem. Ujawnienie ich tożsamości może narazić na niebezpieczeństwo zarówno samych pracowników, jak i ich rodziny, a także zagrozić prowadzonym śledztwom.
DHS potwierdził, że wie o możliwym naruszeniu bezpieczeństwa swoich systemów.
„Jesteśmy świadomi potencjalnego naruszenia bezpieczeństwa i aktywnie pracujemy nad szybkim i skutecznym rozwiązaniem tej sytuacji” – przekazał departament w oficjalnym oświadczeniu.
Zapewniono również, że podejmowane są niezbędne działania mające na celu ochronę osób, których dane mogły zostać ujawnione.
Hakerzy twierdzą, że działają w interesie publicznym
Grupa Department of Peace przedstawia atak jako odpowiedź na działania administracji federalnej wobec imigrantów.
W oświadczeniu opublikowanym po włamaniu hakerzy nawiązali do lipcowej wypowiedzi Marka Wayne'a Mullina, który zapowiadał zaostrzenie działań ICE.
„Oni mają nasze informacje, więc sprawiedliwe jest, żebyśmy my mieli ich” – napisali autorzy ataku w notatce dołączonej do skradzionych plików.
Ryan Ottignon odrzuca zarzuty, że publikowanie danych pracowników federalnych jest formą doxingu, czyli celowego ujawniania informacji osobowych w celu narażenia kogoś na nękanie lub zastraszanie.
Jego zdaniem funkcjonariusze federalni, którzy podczas operacji ukrywają swoją tożsamość, noszą maski i działają w cywilnych ubraniach, powinni podlegać większej kontroli społecznej. Argumentuje, że przejrzystość działań władz jest niezbędna w demokratycznym państwie.
Nie zmienia to jednak faktu, że ujawnienie prywatnych danych tysięcy osób budzi poważne wątpliwości dotyczące bezpieczeństwa i granic obywatelskiej kontroli nad instytucjami państwowymi. Tym bardziej że wycieki tego rodzaju mogą dotykać nie tylko funkcjonariuszy bezpośrednio uczestniczących w kontrowersyjnych operacjach ICE, ale również zwykłych pracowników administracyjnych i biurowych, którzy nie mają żadnego wpływu na działania służb ani decyzje podejmowane przez ich przełożonych. Mimo to ich dane osobowe, a wraz z nimi prywatność i bezpieczeństwo, mogą zostać narażone.
Skoro DHS nie jest bezpieczny, to kto jest?
Atak nastąpił niedługo po podobnych incydentach wymierzonych w Federalne Biuro Śledcze (FBI), co rodzi kolejne pytania o skuteczność zabezpieczeń stosowanych przez najważniejsze amerykańskie instytucje.
Departament Bezpieczeństwa Krajowego odpowiada między innymi za ochronę granic, bezpieczeństwo transportu, zwalczanie terroryzmu oraz koordynowanie działań związanych z cyberbezpieczeństwem. To właśnie od takich instytucji oczekuje się najwyższych standardów ochrony informacji.
Tymczasem najnowszy incydent pokazuje, że nawet rozbudowane systemy zabezpieczeń nie gwarantują pełnej ochrony przed cyberatakami.
Jeżeli hakerzy są w stanie uzyskać dostęp do danych tysięcy funkcjonariuszy federalnych, w tym osób uczestniczących w tajnych operacjach, trudno oczekiwać, że informacje przechowywane przez prywatne firmy, banki, szpitale czy mniejsze urzędy są całkowicie bezpieczne.
Nie oznacza to, że każdy system jest równie podatny na włamanie. Pokazuje jednak, że żadna instytucja nie może traktować cyberbezpieczeństwa jako problemu rozwiązanego raz na zawsze.
Dla zwykłych Amerykanów to kolejne przypomnienie, że nawet przekazując swoje dane instytucjom, którym z założenia powinni najbardziej ufać, nie mają pewności, że informacje te nigdy nie trafią w niepowołane ręce.
