41191名国土安全部雇员被端走:Icepick泄露里最扎眼的不是名单,是那张组织架构图

导语:41191 个名字、55503 个权限组。10 月 28 日,DDoSecrets 发布名为 Icepick 的档案,称来自国土安全部 Okta 单点登录系统,牵出四万多名雇员承包商。

一、这不是一份通讯录,是一棵目录树

先看规模。档案由非营利组织 Distributed Denial of Secrets(DDoSecrets)发布,数据提供者自称”和平部”(Department of Peace),原始文件由瑞士黑客行动主义者兼记者 maia arson crimew 清洗整理,配套的可检索站点叫 Icepick(原域名 icepi.cx 已应 DHS 要求下线,目前由 icepicx.is 提供检索版)。黑客在文件里留了一句话:”他们有我们的信息,那我们有他们的,也很公平。”

(图源:推文原图,美国国土安全部徽章)

(图源:推文原图,DDoSecrets 发布页)

数据按机构拆开是这样的规模:

WIRED 的分析大致是:CBP 一家占了一半以上,ICE 约一万人(其中三分之一在 HSI 调查部门),USCIS 约 6200 人,CISA 不到 1000 人且过半是承包商,合计约占 DHS 员工总数的七分之一。

真正扎眼的不是人数,是”组”的名字。HSI 有 39 名员工分布在十几个现场办公室的 “CUC” 组里——法院文件说 CUC 是 certified undercover operation,认证卧底行动;另有组名指向 Keyhole、”CICTO 通讯截获中心技术支持组”、Title III Intercept Program(授权监听)、ISIP 非法传感器截获计划;工具痕迹同样清楚:Palantir Falcon 调查平台、PenLink 通信记录分析、Cellebrite 手机取证,还有 Grok.com 组、ChatGPT 组、Gemini 组、Signal 组(700 多个账号,几乎全是 CBP)、Mobile Fortify 人脸识别组(200 多个 CBP 账号,含现场主管和特勤队操作员)。甚至有 Executive Leadership 和 AI Access 两个网页过滤白名单组,里面是同样的 13 个人,包括前 DHS 部长 Kristi Noem、前 CIO Antoine McCord(离职后去了 Anduril)以及 Phil Hegseth。

二、紫队视角:被端走的是结构,不是姓名

据称,进入方式是一枚被攻破的 Okta 单点登录账号。Recorded Future 的安全专家 Alexander Leslie 判断得很直白:”如果数据真实且有效,这是渗透 DHS 的极其宝贵的情报资源……对手可以花上几个月挖掘这些关系,锁定脆弱人员,打造可信的冒充话术,甚至破坏正在进行的调查。”

这才是最值得蓝队琢磨的地方:单点登录是效率工具,也是单点失效。一枚账号加一次目录读取,等于全机构的通讯录、组织结构、权限拓扑一次性交出去。拿到这张图之后,红队不需要再打穿任何系统,只需要打个电话。

这也解释了为什么杀伤力远超一份普通人事表:它把”谁是谁””谁在哪””谁能看什么”打包送了出去,而这三样恰好是社工攻击的燃料。

三、名单会二次武器化:接下来几周的电话

推文评论区有人把下一幕说得很准:员工信息泄露之后,下一波就是冒充 HR 或 IT 打电话,让人”验证账号””重置密码”;名单上的人,应该把任何意外的验证请求都当成敌情,回拨时只拨自己本来就知道的号码。

这不是危言耸听,数据本身就写着答案。DDoSecrets 的发布说明里引用 crimew 的话说,这批数据提供了前所未有的视角,能看清 DHS 是怎么组织、怎么运作的,”对任何调查 DHS 的人来说,这是游戏规则级别的改变”,而且未来数年都是 FOIA 申请的现成素材。

(配图由华盟网生成并授权使用)

蓝队能做的事大致分三层:

• 身份层:把抗钓鱼 MFA、设备绑定、异常登录告警顶上去,别让一条账号拖垮整个机构
• 权限层:审计”一个人挂在多少个组里”,离岗轮岗后的残留组往往比想象中多,卧底与监听类组名也要收敛
• 人员层:卧底姓名和行踪外泄是人身安全事件,不只是数据工单,得有 PSIRT 流程和快速轮换预案

四、还没确认的部分

方法与归因目前都停在”声称”阶段。Okta 对 WIRED 表示:”我们已注意到该报告。Okta 是安全的,没有任何证据表明我们的数据或系统被攻破。”DHS 的回应是:”已意识到潜在泄露,正在迅速有效处理。”司法部未作回应,FBI 把媒体问询转给了 DHS。

但数据本身是真的。WIRED、CNBC、POLITICO、BBC、TechCrunch 都拿到并审阅过原始档案。而且这已经不是孤例——此前 ShinyHunters 声称拿走了几乎全体 FBI 员工及其家属的信息。联邦机构的身份系统,正在成片地变成新目标。

五、总结

红队这波操作我给满分:没有炫技,没有零日,一枚 SSO 账号换走整棵目录树,还附赠组织结构图。蓝队要补的课其实也不复杂——别让”名字”成为唯一防线,别让目录树的可见性等于全量可见,更别把一次名单泄露当成一张工单来关掉。

版权声明:本文由华盟网原创发布,保留所有权利。配图由华盟网授权使用。