O Departamento de Segurança Interna dos Estados Unidos (DHS) está sendo alvo de um dos maiores vazamentos de dados da sua história após hackers divulgarem online informações pessoais de mais de 41 mil funcionários e contratantes do órgão. Os dados, que incluem nomes, cargos, números de telefone, endereços de e-mail e localizações de escritórios, foram obtidos através de uma brecha em um sistema de acesso único (SSO) da Okta, serviço utilizado pelo DHS para gerenciar autenticação de seus milhares de colaboradores espalhados por diversas agências subordinadas.
O grupo de hacktivismo autodenominado "Department of Peace" assumiu a responsabilidade pela operação e divulgou o conjunto de dados no início da última quarta-feira, 28 de outubro, através de um site de leaks dedicado. A informação foi repassada à jornalista e hacker suíça maia arson crimew, que por sua vez compartilhou o material com o coletivo não governamental Distributed Denial of Secrets (DDoSecrets), que hospedou o banco de dados em formato aberto para fins jornalísticos e de transparência pública. Segundo o Departamento de Peace, a base de dados foi extraída diretamente do serviço de single sign-on da Okta que o DHS utiliza para permitir que empregados e contratantes façam login na rede central do departamento.
Os números do vazamento são expressivos. Apenas cerca de 21 mil registros pertencem a funcionários da U.S. Customs and Border Protection (CBP), o braço que opera nos pontos de entrada na fronteira e nos aeroportos. Outros 10 mil registros estão vinculados a agentes da U.S. Immigration and Customs Enforcement (ICE) e da sua unidade Homeland Security Investigations (HSI). Menos de mil registros se referem a pessoal da Cybersecurity and Infrastructure Security Agency (CISA), o braço de ciberdefesa do departamento. O restante abrange colaboradores da sede do DHS e de outras agências, incluindo U.S. Citizenship and Immigration Services e o Federal Protective Service.
Além das informações pessoais, o conjunto de dados inclui detalhes sobre quais sistemas e aplicativos internos cada funcionário tem permissão para acessar — informações de granularidade que, no contexto de uma agência de segurança interna, podem revelar não só a identidade de agentes, mas a estrutura de acesso de unidades inteiras. Diversos grupos de usuários na base fazem referência a projetos sigilosos, incluindo o Penlink, uma empresa de vigilância por geolocalização que afirma ser capaz de rastrear dados de localização de centenas de milhões de dispositivos móveis, e o Mobile Fortify, um aplicativo de reconhecimento facial usado conjuntamente pela CBP e pela ICE para identificar pessoas e verificar status migratório.
A motivação por trás do ataque é política. Em uma nota deixada junto aos dados, o Departamento de Peace justificou a operação como resposta às promessas de escalada operacional feitas pelo secretário de Segurança Interna, Markwayne Mullin. "Em 17 de julho, Markwayne Mullin disse que estaria 'intensificando o calor'. Isso é o que acontece com a ICE quando você faz isso", afirmou um porta-voz do grupo, numa referência clara às operações de deportação que vêm sendo ampliadas sob o atual governo. O hacker não respondeu a e-mails da TechCrunch solicitando comentários sobre como a violação foi realizada.
A Okta, por sua vez, emitiu uma defesa enérgica. Em comunicado à Reuters e outras publicações, a empresa afirmou: "A Okta é segura e não temos evidências de que nossos dados ou sistemas foram comprometidos." A declaração, no entanto, contrasta com o reconhecimento de que a empresa está ciente do relatório — e com o fato de que o vazamento, se confirmado como autêntico, sugere uma exploração do serviço de SSO que não foi mitigada a tempo. A DHS não respondeu imediatamente a pedidos de comentários da TechCrunch sobre o incidente.
A verificação independente dos dados pelo Reuters foi substancial. A agência foi capaz de cruzar informações pessoais de seis funcionários do DHS listados no vazamento com registros de agências de crédito e dados de breches transportados pela plataforma de inteligência do District 4 Labs. Em outros casos, o Reuters ligou diretamente para três funcionários do DHS e conseguiu confirmar seus números de telefone e outros detalhes. Um dos funcionários disse ser a primeira vez que ouvia falar do vazamento.
O incidente não ocorre em um vácuo. Este é o segundo ataque ao DHS no ano corrente. Em março, o mesmo grupo assumiu a responsabilidade por um vazamento que expôs milhares de contratos entre o departamento e contratantes privadas, incluindo empresas de defesa e fornecedores de vigilância. Antes disso, em setembro, hackers divulgaram registros pessoais de milhares de agentes do FBI, e no início do ano, a GitGuardian descobriu um repositório público no GitHub que continha credenciais de contas privilegiadas da AWS GovCloud e sistemas internos da CISA — dados que datavam de novembro de 2025.
Historicamente, o DHS já sofreu outros grandes vazamentos. Em 2014, um ataque que pode ter exposto dados de 390 mil funcionários e ex-funcionários foi descoberto. Em janeiro de 2018, o departamento notificou cerca de 250 mil pessoas sobre uma violação no Escritório do Inspector Geral. A repetição de incidentes semelhantes ao longo de uma década levanta questões estruturais sobre a capacidade do departamento de proteger dados sensíveis de sua própria força de trabalho — especialmente quando o alvo é uma agência cujo trabalho envolve operações sigilosas, vigilância e aplicação da lei em um contexto politicamente polarizado.
O que torna este caso particularmente sensível é o momento político em que ocorre: as eleições legislativas de meio de mandato nos Estados Unidos estão a poucas semanas. Diversos dos funcionários listados na base de dados ocupam cargos de liderança em operações de deportação e vigilância que se tornaram questões centrais nas campanhas eleitorais. Para agentes em campo e para funcionários de inteligência, a exposição de informações de contato e localização pode ter implicações diretas para sua segurança pessoal.
A pergunta que fica: em um departamento com centenas de milhares de funcionários e dezenas de agências subordinadas, será que a fragmentação de sistemas de segurança digital é um problema de gestão ou um sintoma de algo mais profundo? A Okta pode ser segura, mas a segurança só importa se o ponto de entrada for identificado e bloqueado antes que o próximo vazamento aconteça.
Fontes: The Verge, TechCrunch, CyberScoop
✓ Fontes independentes cruzadas e verificadas antes da publicação
