Vazamento massivo de dados do DHS expõe mais de 41 mil funcionários através de falha no Okta
Uma operação de hacktivismo sem precedentes expôs nesta quarta-feira (28) os registros pessoais de mais de 41 mil trabalhadores do Departamento de Segurança Interna (DHS) dos Estados Unidos — aproximadamente um quinto de toda a força de trabalho do departamento — através de uma falha no sistema de acesso único (SSO) da Okta. O conjunto de dados, batizado de "Icepick" pela organização de transparência DDoSecrets, inclui nomes, endereços de trabalho, números de telefone, funções e permissões de acesso a sistemas internos, com dados que chegam a expor agentes da Agência de Imigração e Fiscalização (ICE) trabalhando sob cobertura.
O acesso aos registros foi obtido pelo grupo conhecido como "Department of Peace", que distribuiu o material para a DDoSecrets e também para um jornalista norte-americano, Ryan Ottignon, e para um hacker suíço conhecido como "maia arson crimew". Segundo o grupo, os dados foram compilados com base em informações adquiridas por meio de um ataque ao sistema de single sign-on (SSO) da Okta, o mesmo serviço de gerenciamento de identidade utilizado por milhões de trabalhadores federais para acessar suas contas corporativas.
O que foi exposto
Os registros comprometidos abrangem sete agências componentes do DHS, incluindo:
- 21 mil registros de funcionários da Agência de Proteção de Fronteiras dos Estados Unidos (CBP), correspondendo a mais da metade do total - 7 mil registros de pessoal da Agência de Imigração e Fiscalização (ICE) e sua divisão de Investigações de Segurança Interna (HSI) - Mil registros da Agência de Segurança Cibernética e Infraestrutura (CISA) - Dados adicionais do quartel-general do DHS e de outras unidades
Além dos dados básicos — nomes completos, cargos, endereços de trabalho, e-mails, telefones e localizações de escritório — o vazamento inclui informações mais sensíveis sobre permissões internas de software, grupos de acesso a ferramentas de vigilância, sistemas de rastreamento de localização mobile e ferramentas de reconhecimento facial. Nomes de operações sob cobertura e detalhes técnicos usados nessas operações, incluindo tecnologias fornecidas por empresas como Cellebrite e Palantir, também foram revelados.
Os registros foram atualizados pela última vez em 19 de agosto de 2026, o que significa que a exposição cobre dados relativamente recentes da força de trabalho do departamento.
O vetor de ataque: Okta sob pressão
A Okta, líder global em gerenciamento de identidade e acesso, afirmou em comunicado que suas infraestruturas centrais permanecem seguras e que não há evidências de comprometimento do seu sistema. A empresa já enfrentou múltiplos incidentes de segurança em anos recentes — incluindo a famosa brecha de 2022 causada pelo grupo Lapsus$ e um incidente mais recente ligado a credenciais de funcionário salvas em contas pessoais de Google — o que levanta questionamentos sobre a robustez do seu modelo de segurança frente a ataques direcionados ao setor de identidade.
O ataque ao DHS ocorre em um contexto preocupante: a Okta continua a enfrentar as consequências de falhas no acesso por credenciais roubadas. No final de outubro de 2023, a empresa descobriu que um funcionário havia salvo credenciais de serviço em sua conta pessoal do Google, permitindo que um atacante acessasse arquivos de 134 clientes. Mais recentemente, em outubro de 2026, a Cloudflare revelou ter sido comprometida usando tokens e credenciais roubados durante a brecha anterior da Okta.
Reações oficiais
O DHS emitiu um comunicado confirmando que está ciente do incidente e que medidas protetivas ativas estão em andamento. No entanto, o departamento não respondeu aos pedidos de comentário da imprensa, o que alimenta especulações sobre a extensão real do dano e sobre o nível de preparação para conter a exposição dos agentes.
A FBI remeteu as consultas ao DHS, enquanto o Departamento de Justiça não se pronunciou. A ausência de resposta oficial contrasta com a gravidade dos dados expostos — incluindo nomes de agentes operando sob cobertura em programas de deportação intensificada, que podem estar diretamente em risco de represálias.
O que significa a exposição
Para os funcionários expostos, a orientação é clara: monitorar contas, alterar credenciais e ficar alerta para perseguição ou assédio direcionado. Agentes que trabalhavam em operações sensíveis de fronteira e deportação, em particular, enfrentam riscos que vão muito além do incômodo do spam ou phishing — podem estar literalmente em perigo físico.
O incidente reforça uma tensão crescente no setor de cibersegurança: à medida que governos e empresas migram para soluções de identidade centralizada como o SSO, o valor de um único ponto de falha aumenta exponencialmente. A Okta, por si só, não é o problema — é o fato de que, quando o acesso à plataforma é comprometido, as portas para milhares de organizações diferentes se abrem simultaneamente.
A pergunta que fica: em um mundo onde a identidade digital se tornou o novo perímetro de segurança, quantas camadas de proteção são realmente suficientes antes que o primeiro elo fraque se quebre?
✓ Fontes independentes cruzadas e verificadas antes da publicação
