Icepick sızıntısı: 41 bin DHS ve gizli ICE ajanının verileri ifşa oldu

Gizli ICE ajanları ve yerli takip yazılımları internete saçıldı

Sızdırılan dev arşiv, federal sahada çalışan memurların doğrudan iletişim bilgilerini ve operasyonlarda kullandıkları ticari yazılımları gözler önüne seriyor.

Açığa çıkan kayıtlar arasında personelin doğrudan e-posta adresleri, telefon numaraları ve fiziki ofis konumları yer alıyor. İhlalden etkilenen profillerin 10 bin kadarı Göçmenlik ve Gümrük Muhafaza (ICE) birimine ait. Ayrıca Vatandaşlık ve Göçmenlik Hizmetleri'nden (USCIS) 6 bin 200, Siber Güvenlik ve Altyapı Güvenliği Ajansı'ndan (CISA) ise yaklaşık bin personelin verisi listede bulunuyor.

Liste sadece isim ve unvanlardan ibaret değil; federal operasyonların perde arkasını da ortaya koyuyor. Belgelerde, bu yılın başlarında Minneapolis'teki protestoları izlemek için yürütülen Keyhole gibi gizli takip operasyonları ile CICTO ve ISIP adlı yasal dinleme programlarına dair iç yazışmalar geçiyor.

Bunun yanında federal ajanların Palantir Falcon platformunu, PenLink telekomünikasyon izleme yazılımlarını ve ChatGPT, Google Gemini ile Microsoft Copilot gibi ticari üretken modelleri nasıl kullandığı belgelenmiş durumda.

Icepick sızıntısının kaynağı ve merkezi kimlik altyapısı riski

Arşiv, kendisini Department of Peace (Barış Bakanlığı) olarak adlandıran anonim bir aktivist grubu tarafından Icepick adı altında paylaşıldı. Grup, sızıntıyı "Onlar bizim bilgilerimize sahip, bizim de onlarınkine sahip olmamız gayet adil" notuyla servis etti. İsviçreli araştırmacı maia arson crimew ise bu verileri kamuya açık, aranabilir bir veri tabanına dönüştürdü.

Wired adına verileri inceleyen sızıntı platformu Distributed Denial of Secrets, kayıtların DHS'in Okta kimlik ve erişim yönetimi kurulumu üzerinden çekildiğini aktardı. Okta ise kendi çekirdek altyapısında veya yazılımlarında doğrudan bir güvenlik açığı ya da ihlal izine rastlanmadığını belirtti.

Bu vaka, kurumların merkezi kimlik yapılarının ne kadar kritik bir hedef olduğunu gösteriyor. FBI ve Hollanda polisinin Virtualine sunucularına yaptığı baskın gibi altyapı odaklı operasyonların aksine, doğrudan kimlik katmanının delinmesi sahada çalışan personelin fiziki güvenliğini tehlikeye atıyor. İnsan kaynakları ve erişim dizinleri sızdığında sorun basit bir şifre sıfırlamayla çözülemiyor.

Türkiye'deki kamu ve kurum güvenliği açısından ne anlama geliyor?

Icepick vakası doğrudan ABD federal personelini hedef alsa da merkezileştirilmiş kimlik sağlayıcılarının (IdP) ne kadar büyük bir tek hata noktası (SPOF) yarattığını kanıtlıyor. Türkiye'de de kamu kurumları, e-Devlet entegrasyonları ve kurumsal şirketler hızla bulut tabanlı merkezi erişim yönetimi sistemlerine geçiş yapıyor.

Sahada görev yapan kritik güvenlik personelinin ve kamu çalışanlarının kurumsal dizin bilgilerinin, standart e-posta sistemlerinden ayrı tutulması gerektiği bu sızıntıyla bir kez daha netleşti. Merkezi kimlik panellerinin ele geçirilmesi, uçtan uca tüm operasyonel güvenliği saniyeler içinde çökertebiliyor.

Açığa çıkan 41 bin federal kayıt internette dolaşırken, DHS hem sahada kimliği açığa çıkan ajanlarını koruma altına almak hem de iç operasyonel gizliliği yeniden inşa etmek için zorlu bir krizle karşı karşıya.