ABD İç Güvenlik Bakanlığı'nda Büyük Veri Sızıntısı: Hacktivistlerden Hükümet Gözetimine Misilleme

Bir aktivist grubun ABD İç Güvenlik Bakanlığı'na (DHS) yönelik siber saldırısı, aralarında Gümrük ve Sınır Koruma (CBP) çalışanları, Göçmenlik ve Gümrük Muhafaza (ICE) memurları ve devletin siber güvenlik birimlerinde görev yapanların da bulunduğu 41 binden fazla çalışanın kişisel bilgilerini ifşa etti.

Sızıntıdan elde edilen bilgiler, Distributed Denial of Secrets (DDoSecrets) adlı internet sitesinde 'Icepick' isimli aranabilir bir depoda çevrimiçi olarak yayımlandı. Haber sızıntıları sitesine göre, kendisine 'Barış Departmanı' (Department of Peace) adını veren hacktivist bir grup, DHS tarafından kullanılan Okta tek oturum açma hizmetini ihlal ederek çalışanların isimlerini, iletişim bilgilerini ve görev yerlerini çaldı. Grup daha sonra veri tabanının kopyalarını sızıntı barındırma grubu DDoSecrets ve kendisini İsviçreli araştırmacı gazeteci ve siber güvenlik araştırmacısı olarak tanımlayan maia arson crimew ile paylaştı. Crimew, verileri aramak için çevrimiçi bir araç oluşturdu.

Hacktivist crimew, sızıntıyı DHS'nin iç yapısının 'eşi benzeri görülmemiş' ve 'devasa' bir ifşası olarak nitelendirdi. Veri setinin, ICE gibi kurumlardaki kesin rolleri, komuta zincirlerini ve ajan kimliklerini detaylandırarak departmanı gelecek yıllar boyunca dış soruşturmalara karşı oldukça savunmasız bırakacak ve 'oyunun kurallarını tamamen değiştirecek' nitelikte olduğunu belirtti.

Bu ihlal, ICE'ın giderek teknoloji odaklı hale gelen uygulama taktikleri ve Flock Security gibi şirketlerle yaptığı özel ortaklıklar da dahil olmak üzere, hükümet liderliğindeki gözetime karşı yapılan en son misilleme gibi görünüyor. 'Barış Departmanı' grubu, DHS Bakanı Markwayne Mullin'in göçmenlik baskısını ve tutuklamaları artırmaya atıfta bulunarak yaptığı 'sokaklarda ısıyı artırma' açıklamasına doğrudan atıfta bulundu ve 'Bunu yaptığınızda ICE'ın başına gelen budur' yanıtını verdi. Bilgisayar korsanları ayrıca dosyalara 'Onların bizim bilgilerimiz var, bu yüzden bizim de onlarınkine sahip olmamız adil' yazan bir not ekledi.

Bir DHS sözcüsü yaptığı açıklamada, kurumun 'potansiyel bir ihlalden haberdar olduğunu ve durumu hızlı ve etkili bir şekilde ele almak için aktif olarak çalıştığını' belirtti. Açıklamada ayrıca, 'Çalışanlarımıza ve memurlarımıza yönelik tüm güvenlik tehditlerini ciddiye alıyoruz ve hepsinin uygun şekilde korunmasını sağlamak için çalışacağız' denildi.

Sızıntının ardından DHS, Icepick'in aranabilir arşiv alanı da dahil olmak üzere bilgileri barındıran siteleri yayından kaldırmak için çalışıyor. Sosyal ağ Bluesky, DDoSecrets'e giden bağlantıları engellemeyi tercih etti ve platformun topluluk kurallarının 'kişisel bilgilerin izinsiz paylaşımını ve güvenlik riski oluşturabilecek diğer içerikleri' yasakladığını belirtti.

Icepick sızıntısına yönelik ilginin büyük kısmı boyutuna odaklanmış durumda. Etkilenen 41.000 çalışan, DHS'deki yaklaşık çeyrek milyon kişinin yalnızca bir kısmını temsil etse de, veriler temel iletişim bilgilerinin çok ötesine geçiyor. Raporlar, sızıntının ofis adreslerini, telefon numaralarını ve dahili çalışma sistemleri ile departmanın iç işleyişine dair ayrıntıları ifşa ettiğini gösteriyor.

Bilgisayar korsanları, çalışan girişi için güvenli bir portal olan Okta üzerinden erişim sağladıkları için, bu kontrol paneline bağlı uygulamaların ana listesini de gördüler. Bu, ICE tarafından kullanılan ve Penlink gibi özel telefon dinleme ve gözetleme yazılımlarının yanı sıra ChatGPT ve Gemini gibi popüler yapay zeka uygulamalarının bir envanterini ortaya çıkardı. Bu durum, federal kurumların vaka dosyalarını veya sınır verilerini ticari yapay zeka modellerine nasıl aktardığına dair soru işaretleri yarattı.

Icepick verilerinin çapraz referanslanması gizli operasyonları ifşa edebileceği gibi, havaalanı güvenlik görevlileri gibi ilgisiz personeli de riske atma ihtimali taşıyor. Ancak DDoSecrets kurucu ortağı ve gazeteci Emma Best, yayının ayrım gözetmeyen bir veri dökümü yerine stratejik olduğunu savundu. Best, 'Icepick, her DHS çalışanının ayrım gözetmeksizin yer aldığı bir rehber olmaktan ziyade, DHS politika ve operasyonlarının mimarlarının ve yönlendiricilerinin çoğunu teşhis ediyor' diye yazdı.

İhlale yönelik kamuoyu tepkisi aynı zamanda bir kurumsal meşruiyet krizine de işaret ediyor; birçok kişi bu ifşayı bir suç olarak değil, cezasız hareket eden bir federal departmana karşı zorunlu bir şeffaflık olarak görüyor. Olayla ilgili bir NPR haberine eşlik eden bir Facebook yorum dizisinde birçok kişi hacktivistlere destek verdi: Bir yorumcu 'Bütün kahramanlar pelerin takmaz' yazarken, bir diğeri 'Kolluk kuvvetlerinin kimlikleri halka açık olmalıdır. Aksi takdirde bu sadece bir çetedir' dedi.

Agresif uygulamaları ve yaygın gözetimiyle bilinen bir kurum saldırıya uğradığında, nüfusun bir kesimi bunu ilahi adalet olarak görüyor.

Ayrıca, ICE veya DHS kurumlarıyla sözleşme imzalayan herhangi bir teknoloji şirketi için tırmanan bir operasyonel kriz söz konusu. Dışarıdan, hacktivistler federal ajanların kimliğini ifşa etmek ve gözetim araç setlerini sızdırmak için altyapılarını hedef alıyor (bu son ihlalde olduğu gibi). İçeriden ise çalışanlar alarm veriyor ve liderlikten ahlaki gerekçelerle sözleşmeleri iptal etmesini talep ediyor.

Bu durum yakın zamanda robot şirketi Boston Dynamics'in başına geldi. ICE'ın, şirketin ürettiği Spot robotlarına 2 milyon dolara kadar harcama yapmayı planladığının bildirilmesinin ardından yüzlerce çalışan, 'bu çalışma sivillere zulmeden bir devlet kurumu tarafından kullanılırken' Boston Dynamics için çalışmaktan gurur duyamayacaklarını belirten bir dilekçe imzaladı. Bir çalışan, arkadaşlarının ve ailesinin kendilerine ICE robotları üzerinde nasıl çalışabildiklerini 'inanmazlık ve dehşet içinde' sorduğunu belirterek daha geniş bir güvensizliğe işaret etti.

Son büyük DHS ihlali rastgele, münferit bir siber saldırı değil. Electronic Frontier Foundation (EFF), bu yılın başlarında, plaka okuyabilen Flock gözetleme kameralarına karşı koymayı ve memurların hareketlerini izlemeyi amaçlayan uygulamalar ve web araçları da dahil olmak üzere, 'ICE'a karşı karşı gözetim yapmak için projeler başlatan girişimci bilgisayar korsanlarının' yayıldığını detaylandırmıştı.

EFF Kıdemli Personel Teknoloğu Cooper Quintin, 'Güçsüz olmadığımızı hatırlamak önemli' diye yazdı. 'Devasa gözetleme yeteneklerine ve askeri benzeri teknolojilere sahip bir yerel kolluk kuvveti varlığı karşısında bile, gözetim öz savunması yapmanın hala yolları var.'