"Ils ont nos informations, il est donc normal que nous ayons les leurs": les données de plus de 40.000 membres de la Sécurité intérieure aux États-Unis, dont des agents de l'ICE infiltrés, divulguées par des hackers

Ils voulaient rester dans l'ombre, mais c'est raté. Ils, ce sont des agents infiltrés de l'ICE, la police de l'immigration, qui font partie des 41.000 employés du département américain de la Sécurité intérieure (DHS) dont les données ont été dérobées et ensuite exposées. Distributed Denial of Secrets (DDOS), ONG spécialisée dans la publication de fuites d'information a mis en ligne mercredi ces données sensibles recueillies auprès d'un groupe de hackers connu sous le nom de Department of Peace.

Ce collectif a créé un outil appelé Icepick qui permet des recherches détaillées sur les noms, les bureaux et les affectations des employés. "Ils ont nos informations, il est normal que nous ayons les leurs", a-t-il justifié auprès du média spécialisé Techcrunch.

Le groupe de hackers a pu subtiliser ces données en passant par le système d'authentification unique Okta, qui est utilisé par les employés et sous-traitants du département pour se connecter à son réseau central. Parmi les informations sensibles figurent les noms, fonctions, adresses mail et de bureau, ainsi que les numéros de téléphone.

"Ce jeu de données est énorme, tant par sa taille que par son impact", a déclaré la militante Maia Arson Crimew, dans un communiqué de DDOS. "Il offre un aperçu sans précédent de la structure organisationnelle du département de la Sécurité intérieure, en mettant en lumière qui fait quoi au sein de plusieurs agences du DHS (Sécurité intérieure), y compris l'ICE (police de l'immigration)", a ajouté la militante.

Environ un cinquième des effectifs du DHS concerné

La cofondatrice de DDOS, Emma Best, a qualifié la fuite d'informations d'"extraordinaire". Les données "identifient les responsables chargés de superviser les opérations clandestines et sous couverture, la chasse aux informateurs menée par le gouvernement, (...) ainsi que le personnel clé des programmes de transferts forcés et d'expulsions du DHS, qui ne cessent de s'intensifier", selon l'ONG.

Selon Techcrunch, les informations divulguées touchent environ un cinquième des effectifs du DHS, qui compte près de 220.000 personnes. Dans le détail, quelque 21.000 dossiers, soit plus de la moitié de l'ensemble de données, concernent des employés du Service des douanes et de la protection des frontières (CBP).

D'autres sont associés à 10.000 agents de l'ICE et de sa branche d'investigation (Homeland Security Investigations), et à un peu moins de 1.000 salariés de la Cisa, l'agence américaine en charge de la cybersécurité. Des milliers d'autres sont liés à des employés travaillant au siège du ministère et dans d'autres agences dont le Service de la nationalité et de l'immigration et le Service fédéral de protection.

Cette fuite de données intervient alors que le DHS et l'ICE sont au cœur d'une gigantesque campagne de répression en matière d'immigration ordonnée par le président américain, Donald Trump, au début de son second mandat, en janvier 2025. Cette répression a conduit à la détention et à l'expulsion de milliers de personnes sans papiers, tandis que des citoyens américains ont également été pris dans ce filet. Deux personnes ont même été abattues.

Révélations sur les outils utilisés par le DHS

Outre l'identification des employés du DHS, les données divulguées incluent aussi des informations sur les technologies de surveillance et les outils de cybersécurité auxquels ils ont accès, à travers des groupes d'utilisateurs dont ils sont membres. Des dizaines de ces groupes font référence à Penlink, entreprise de surveillance web qui travaille avec l'ICE depuis des années. Elle développe une technologie capable de suivre les données de géolocalisation de centaines de millions d'appareils mobiles.

Un d'entre eux mentionne d'ailleurs Penlink PLX, présenté comme un outil permettant de capturer et d'analyser des "renseignements en temps réel" provenant des appels téléphoniques, des SMS, de l'activité sur le web et des réseaux sociaux. Comprenant plus de 200 utilisateurs du CBP, un autre groupe est, lui, dédié à l'application de reconnaissance faciale Mobile Fortify. Également utilisée par l'ICE, elle permet d'identifier les personnes et de vérifier leur statut d'immigration, avec quelques ratés.

Environ 4.500 autres utilisateurs, incluant des agents de l'ICE et d'expulsion, sont par ailleurs membres d'un groupe appelé "Headspace_users", en référence au fournisseur de thérapie en ligne Headspace. Il proposait "un logiciel de santé mentale requis pour les employés de l'ERO (unité d'expulsion de l'ICE, NDLR) jusqu'à 2023. D'autres groupes incluent également des employés, dont de hauts responsables du DHS, qui utilisent ChatGPT.

Pour le moment, on ignore si la vulnérabilité qui a permis la fuite de données a été corrigée. "Okta est sécurisé et nous n'avons aucune preuve que nos données ou nos systèmes aient été compromis", a affirmé un porte-parole de l'entreprise à Techcrunch.

"Le département est au courant d'une faille potentielle et travaille activement à résoudre la situation rapidement et efficacement. Nous prenons très au sérieux toutes les menaces à la sécurité visant nos employés et agents et nous veillerons à ce que chacun soit correctement protégé", a de son côté assuré le DHS.