米TechCrunchは28日（現地時間）、ハッカーが米国土安全保障省（DHS）職員約4万人分の個人情報を盗み出し、オンラインで公開したと報じた。ハッカー側は、DHSの中央ネットワークへのログインに使われるOktaのシングルサインオン（SSO）システムからデータを取得したと主張している。

流出した情報には、氏名、役職、メールアドレス、携帯電話番号、オフィス所在地などが含まれるという。国境警備や移民取締りに当たる職員のほか、サイバーセキュリティ担当者や幹部職員の情報も流出したとされる。

犯行声明を出したのは、「Department of Peace（平和省）」を名乗るハッカーグループだ。TechCrunchによると、このハッカーは、DHS職員や契約企業の関係者が利用するOktaのSSOシステムからデータを抜き取ったと主張。あわせて、「彼らが我々の情報を持っているのだから、我々が彼らの情報を持つのも公平だ」とするメモも残した。流出データは非営利団体DDoSecretsにも提供されたという。

流出データの過半は、税関・国境警備局（CBP）職員の記録で、件数は約2万1000件に上る。移民・税関捜査局（ICE）と、その傘下にある国土安全保障捜査局（HSI）の職員約1万人分、サイバーセキュリティ・インフラセキュリティ庁（CISA）職員約1000人分の情報も含まれていた。

流出規模は、DHS全体の人員22万人の約5分の1に相当する。記録に残るタイムスタンプ情報から、データは8月中旬ごろに持ち出された可能性がある。

また、データには職員が利用可能な監視技術に関する情報も含まれていた。監視企業PenLinkのサービスを利用する職員グループも数十件含まれていたという。PenLinkは自社技術について、数億台規模の携帯電話の位置情報を追跡できると主張してきた。

今回の事案は、DHSにとって今年に入って2件目の情報流出事故となる。DHSはTechCrunchの取材にすぐには回答せず、Oktaは自社のデータやシステムが侵害された証拠は確認されていないと説明した。