出来事の日付：2026年10月29日
NPRによると、ハクティビスト集団が、米国土安全保障省（DHS）に関係する4万人超を特定できる記録を公開した。その中には、潜入活動に関わる職員も含まれる。流出した資料には氏名、電話番号、住所が含まれ、ファイルに名前が記載された職員や関係者の安全とプライバシーにリスクが生じている。
「Department of Peace」を名乗る集団は、DHSのシングルサインオンシステムに侵入して情報を入手したと主張した。ただし、提供された証拠では、この説明は独立した確認を受けていない。DHSはNPRに対し、情報侵害の可能性を把握しており、対応を進めていると述べた。影響を受けた人々を保護する措置も取っているという。
記録は透明性の促進を掲げる団体Distributed Denial of Secretsに渡され、同団体はIcepickという名称のデータベースで公開した。ハッカー集団は、米国のジャーナリスト、ライアン・オティニョンと、スイスの活動家maia arson crimewにも資料を共有し、両者は検索可能な版を作成した。NPRの報道によると、2万1,000件超の項目が税関・国境警備局（CBP）の職員を特定するもので、約1万件は移民・関税執行局（ICE）およびその国土安全保障捜査局（HSI）に関係している。
このデータセットは大規模だが、網羅的ではない。DHSの職員数は22万人をやや上回るため、公開された記録は職員数の約5分の1に相当する。秘密活動や潜入業務に携わる人々が含まれることで、通常の人事情報の流出以上に深刻な事態となる。職務上の役割と個人の連絡先を組み合わせれば、嫌がらせや標的を絞った攻撃に個人をさらしかねないためだ。NeoTechNewsは、このデータベースへのリンクを掲載せず、内容も転載しない。
データの公開に関わった人々は、公務員を特定できることが監視や、より的確な情報公開請求につながると主張した。オティニョンは、この取り組みを個人情報のさらし行為とみなす見方を否定し、市民は政府の権限を行使する職員が誰なのかを知ることができるべきだと述べた。この見解には異論がある。一部の氏名や役職が公的記録から入手できるかどうかにかかわらず、自宅の住所や電話番号の公開は個人を危険にさらし得る。
今回の事案は、侵入手段がなぜ重要なのかも示している。攻撃者によるシングルサインオンを巡る主張が確認された場合、調査担当者は、認証情報、セッショントークン、あるいは別の弱点のどれが侵入を可能にしたのか、どのシステムに到達したのか、公開されたファイルが侵害の全容を示すものなのかを明らかにする必要がある。人事情報の侵害では、パスワードのリセット、本人の情報が不正利用されていないかの監視、アクセス権の見直し、機微な職務に就く人々への保護措置などが必要になる場合がある。
DHSの声明は、ハッカー集団による技術的な説明を確認するものではなく、被害範囲の詳細も示していない。同省の調査が完了するまでは、実行主体の特定、正確な侵入経路、盗まれた資料がどこまで網羅的なのかは不明のままだ。公表された報道から明らかなのは、大量の人事情報が政府の管理の外で流通しているという点であり、対応ではセキュリティー上の不備と、身元を特定された人々が直面するリスクの双方に取り組まなければならない。
