Rò rỉ dữ liệu nhạy cảm tại DHS: 41.000 hồ sơ nhân viên bị phơi bày

• Quy mô rò rỉ: Hơn 41.000 hồ sơ nhân viên và nhà thầu của DHS bị công khai, bao gồm thông tin liên lạc, chức danh và cấu trúc tổ chức.
• Đối tượng ảnh hưởng: Dữ liệu bao gồm nhân sự từ 7 cơ quan trực thuộc DHS, trong đó có ICE, CBP và CISA.
• Nguy cơ an ninh: Việc lộ lọt thông tin về các nhóm đặc vụ chìm (undercover operations) và cấu trúc phân quyền hệ thống tạo ra rủi ro nghiêm trọng về tấn công giả mạo và xâm nhập mục tiêu.
• Nguồn gốc dữ liệu: Thông tin được cho là bắt nguồn từ dịch vụ Okta SSO, mặc dù phía Okta khẳng định hệ thống của họ vẫn an toàn.

Một kho lưu trữ dữ liệu khổng lồ chứa thông tin của hơn 41.000 nhân viên và nhà thầu thuộc Bộ An ninh Nội địa Hoa Kỳ (DHS) vừa bị rò rỉ, gây ra những lo ngại sâu sắc về an ninh quốc gia. Được công bố vào ngày 28 tháng 10 dưới tên gọi 'Icepick' bởi nhóm 'Department of Peace' thông qua tổ chức Distributed Denial of Secrets (DDoSecrets), bộ dữ liệu này không chỉ là một danh bạ nhân sự thông thường mà còn tiết lộ các cấu trúc đội ngũ nội bộ và các luồng báo cáo công việc nhạy cảm.

Phân tích phạm vi và tính chất dữ liệu bị rò rỉ

Theo các báo cáo kỹ thuật, dữ liệu này được cập nhật lần cuối vào ngày 19 tháng 8 năm 2026. Các thông tin bị lộ bao gồm họ tên, địa chỉ email, số điện thoại, địa điểm làm việc, chức danh và thông tin người quản lý trực tiếp. Dữ liệu bao phủ 7 cơ quan trực thuộc DHS, trong đó Cơ quan Hải quan và Bảo vệ Biên giới (CBP) chiếm hơn một nửa số hồ sơ, tiếp theo là Cơ quan Thực thi Di trú và Hải quan (ICE) với khoảng 10.000 hồ sơ.

Đáng chú ý nhất là sự hiện diện của hơn 55.000 nhóm phân quyền (permission groups) dùng để kiểm soát truy cập vào các hệ thống nội bộ. Các nhà nghiên cứu đã xác định được 39 nhân viên thuộc Cơ quan Điều tra An ninh Nội địa (HSI) nằm trong các nhóm có chứa tiền tố 'CUC', một thuật ngữ thường được liên kết với các hoạt động đặc vụ chìm trong hồ sơ tòa án. Ngoài ra, các nhóm này còn tham chiếu đến các công cụ nghe lén, phân tích dữ liệu điện thoại và các phương tiện giám sát chuyên dụng.

Nghi vấn về vector tấn công và vai trò của Okta

DDoSecrets tuyên bố rằng thông tin này có nguồn gốc từ dịch vụ Single Sign-On (SSO) của Okta được DHS sử dụng. Tuy nhiên, phía Okta đã bác bỏ cáo buộc này, khẳng định rằng hệ thống của họ vẫn an toàn và không có bằng chứng nào cho thấy dữ liệu hoặc hệ thống của hãng bị xâm phạm. Hiện tại, chưa có phương thức xâm nhập cụ thể nào được xác nhận chính thức.

⚠️ Cảnh báo quan trọng: Việc rò rỉ thông tin định danh (PII) kết hợp với cấu trúc phân quyền hệ thống là 'mỏ vàng' cho các chiến dịch tấn công giả mạo (Phishing) và tấn công kỹ thuật xã hội (Social Engineering). Kẻ tấn công có thể sử dụng dữ liệu này để mạo danh quản lý hoặc bộ phận hỗ trợ kỹ thuật nhằm đánh cắp mã xác thực đa yếu tố (MFA).

Các chuyên gia an ninh mạng cảnh báo rằng khi tên tuổi nhân viên được kết hợp với thông tin về người quản lý, nhiệm vụ và số điện thoại, kẻ tấn công có thể dễ dàng xác định các mục tiêu dễ bị tổn thương. Alexander Leslie, chuyên gia tại Recorded Future, nhấn mạnh rằng dữ liệu này có thể bị lợi dụng để xây dựng các kịch bản mạo danh thuyết phục hoặc đe dọa các cuộc điều tra đang diễn ra.

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Trước tình hình dữ liệu nhạy cảm bị công khai, các tổ chức cần thực hiện ngay các biện pháp hardening hệ thống để ngăn chặn các cuộc tấn công tiếp nối:

• Tăng cường xác thực: Chuyển đổi sang các phương thức xác thực chống giả mạo (phishing-resistant MFA) như FIDO2/WebAuthn thay vì dựa vào mã SMS hoặc push notification truyền thống.
• Giám sát hành vi: Thiết lập các quy tắc cảnh báo trên SIEM để phát hiện các yêu cầu hỗ trợ kỹ thuật bất thường hoặc các thay đổi cấu hình tài khoản đáng ngờ.
• Rà soát phân quyền: Thực hiện kiểm tra định kỳ (Access Review) đối với các nhóm phân quyền, đặc biệt là các nhóm có quyền truy cập vào dữ liệu nhạy cảm hoặc các công cụ giám sát.
• Đào tạo nhận thức: Cảnh báo nhân viên về nguy cơ bị tấn công qua điện thoại (vishing) hoặc email giả mạo từ những kẻ tấn công đã nắm rõ cấu trúc tổ chức.

Sự cố này là lời nhắc nhở đanh thép về tầm quan trọng của việc bảo vệ danh tính trong kiến trúc Zero Trust. Việc lộ lọt thông tin không chỉ ảnh hưởng đến cá nhân mà còn đe dọa trực tiếp đến tính toàn vẹn của các chiến dịch thực thi pháp luật và an ninh quốc gia. Các tổ chức cần duy trì sự cảnh giác cao độ trước các chiến dịch tấn công nhắm vào hạ tầng định danh.