要点
- 米国土安全保障省（DHS）の職員や委託先の人、4万1,000人を超える名前・役職・電話番号・メールアドレスが盗まれ、ダウンロードできる形でネットに公開された。
- 移民の取り締まりをする ICE や、国境を守る CBP の職員も入っている。潜入して働く職員の役目を示す記録もある、と報じられている。
- 「誰が・どの部署で・どのシステムを使えるか」が並んだ名簿は、本人や同僚になりすました、だましのメールを作るのにそのまま使える。
何が起きたか
漏れた情報を公開する非営利の団体 Distributed Denial of Secrets（DDoSecrets）は、米国時間の2026年10月28日（日本時間では28〜29日）に、「Icepick」という名前のデータを公開した。DDoSecrets によると、DHS の4万1,000人を超える職員について、名前・所属の部署・連絡先・担当が入っている。大きさは約167MB で、DDoSecrets のページにダウンロードのリンクが載っている。
出どころは「Department of Peace」と名乗るハクティビスト（政治の目的でハッキングをする人たち）の集団とされる。DDoSecrets によると、この集団は、DHS が使う Okta のシングルサインオン（一度ログインすれば、いくつもの社内システムに入れる仕組み）からデータを得たと主張している。どうやって入ったのかは明らかになっていない。
TechCrunch は手元のデータを調べ、次のように報じている。
- 中身は、名前・役職・仕事用のメールと携帯番号・勤務先のほか、各職員がどの社内システムやアプリを使えるかを示すグループの記録。
- 部署ごとの数は、CBP が約2万1,000人、ICE（捜査部門の HSI を含む）が約1万人、サイバー防御を受け持つ CISA が1,000人弱。
- 記録の時刻から見ると、盗まれたのは8月の半ばごろとみられる。
Nextgov も、データの一部が本物であることを確かめた。一方で、すでに辞めた人の記録も入っていたという。監視・コンピューターの鑑識・潜入の仕事を示す記録もあったと伝えている。
報道によると、DHS は「侵害の可能性を把握しており、速やかに対処している」と答えた。Okta は「Okta は安全で、当社のデータやシステムが侵害された証拠はない」としている。Reuters は、集団の主張をすぐには裏づけられなかったと伝えた。
日本の利用者への影響
直接の被害者は、米国の DHS の職員と委託先の人だ。
ただ、日本の組織にとっても人ごとではない。DHS の職員と仕事のやりとりがある会社や役所には、名簿を使って DHS の担当者になりすましたメールが届くおそれがある。また、今回の出どころとされるのは、日本でも広く使われている「社内システムに一度でログインする仕組み」だ。Okta は自社が侵害されたことを否定しているが、どの設定や使い方に穴があったのかはまだ分からない。
今すぐやること
- 米国の政府機関、とくに DHS・ICE・CBP・CISA を名乗るメールや電話が来たら、記載の番号ではなく、公式サイトで調べた窓口に問い合わせて確かめる。
- 「システムの権限を確かめる」「ログインし直して」と促すメールのリンクは開かない。名簿には各職員が使えるシステムまで載っているため、本物らしく見える文面が作られやすい。
- 自分の組織の職員名簿・組織図・権限の一覧が、誰でも読める場所や、必要以上に広い範囲で見られる状態になっていないか見直す。
- シングルサインオンを使っているなら、管理する人のアカウントに MFA（パスワードのほかにスマホなどでも本人確認する仕組み）がかかっているか、権限を広く渡しすぎていないかを担当者に確かめる。
背景
TechCrunch によると、同じ集団は2026年3月にも、DHS と民間企業との契約の書類を盗んだと名乗り出ていた。米国では9月にも、FBI の捜査官の人事記録や、国防総省の人事部門が持つ軍関係者の記録が漏れたと報じられている。政府の職員の情報が続けて狙われている。
Nextgov によると、集団は今回の公開を、移民の取り締まりへの抗議だとしている。お金目当ての攻撃と違って、売るのではなく、はじめから公開することを狙っている。そのため、盗まれた時点で誰でも手に入れられるようになる。
職員の名簿は、ふだんは「秘密ではない」と扱われやすい。しかし、名前と役職と使えるシステムがそろうと、攻撃する側が「誰をどうだませば中に入れるか」を考える材料になる。日本の組織でも、名簿や権限の一覧は、守るべき情報として扱う必要がある。
技術者向けの詳細
- 公開: DDoSecrets「Icepick」、米国時間2026-10-28。約166.7MB。DDoSecrets のページにダウンロードのリンクがある。
- 主張されている出どころ: DHS が使う Okta の SSO。どうやって入ったかは公表されていない。Okta は自社の侵害を否定している。直ったかどうかは分からない（TechCrunch）。
- 中身（TechCrunch・Nextgov）: 名前、役職、仕事用のメール、携帯番号、勤務先、Okta で割り当てられたアプリ、Active Directory のグループの所属。
- グループの所属から分かるもの（TechCrunch）: Microsoft 365、Adobe Acrobat、Citrix の利用。Penlink（ネットの監視をする会社）に関わるグループ。顔認識アプリ Mobile Fortify に結びつく CBP の利用者200人超。Salt Typhoon と Volt Typhoon の調査に関わるグループ。
- 防ぐ側の見直し:
- IdP（ログインをまとめて受け持つ仕組み）の管理 API トークンと管理者の権限を見直す。
- ユーザーの一覧やグループの一覧を、大量に取り出したログがないか調べる。
- ディレクトリの情報を読めるアプリを、本当に要るものだけに絞る。
- 名簿が漏れたあとは、ヘルプデスクへのなりすまし（パスワードや MFA を作り直させる依頼）に気をつける。本人確認の手順を、電話とメールのどちらでも強める。