En bref

  • DDoSecrets a publié le 28 octobre 2026 un dataset baptisé Icepick : noms, fonctions et coordonnées de plus de 41 000 employés du Department of Homeland Security américain
  • Les hacktivistes revendiquent un accès via Okta SSO — Okta dément toute compromission de ses systèmes
  • Des agents ICE et CBP en mission de terrain identifiés dans les données — risque opérationnel direct pour des agents travaillant sous couverture

Les faits

Le 28 octobre 2026, l'organisation de transparence hacktiviste Distributed Denial of Secrets (DDoSecrets) a publié une base de données baptisée Icepick, contenant des informations sur plus de 41 000 employés du Department of Homeland Security (DHS) des États-Unis. Le dataset a été transmis à DDoSecrets par des hacktivistes, ainsi qu'à la journaliste et hackeuse suisse maia arson crimew, connue pour avoir divulgué en 2023 la no-fly list de la TSA américaine.

Les données publiées comprennent noms complets, intitulés de postes, agences d'appartenance, numéros de bureau et informations de contact professionnelles. Les agences représentées dans le dataset incluent l'Immigration and Customs Enforcement (ICE), le Customs and Border Protection (CBP), la FEMA, le Secret Service, la Coast Guard et d'autres composantes du DHS. Le dataset ne contiendrait pas, selon les premières analyses, de numéros de sécurité sociale ni d'adresses personnelles.

L'aspect le plus sensible opérationnellement est la présence dans le dataset d'agents ICE et CBP travaillant dans des rôles de terrain ou potentiellement sous couverture. Emma Best, co-fondatrice de DDoSecrets, a déclaré que l'objectif de la publication était d'identifier les architectes et les opérationnels des politiques d'immigration américaines — une déclaration qui positionne clairement l'attaque comme un acte hacktiviste politiquement motivé. Reuters a procédé à une vérification partielle en recoupant plusieurs noms du dataset avec des bases de données de tiers et en contactant directement trois des personnes identifiées, dont l'une a confirmé être la première informée d'un incident.

Le vecteur d'accès revendiqué est un système Okta utilisé par le DHS pour son authentification unique (Single Sign-On, SSO). Les hacktivistes affirment avoir exploité ce point d'entrée pour accéder aux annuaires internes. Okta a réagi rapidement avec un démenti : la société a déclaré que ses systèmes sont sécurisés et qu'elle ne dispose d'aucun élément probant indiquant une compromission de ses données ou de son infrastructure. Le DHS de son côté a décrit l'incident comme une "potentielle violation de données" sans confirmer le vecteur d'attaque ni l'étendue exacte des données compromises.

La discordance entre la revendication des hacktivistes et le démenti d'Okta est un pattern récurrent dans les incidents impliquant des fournisseurs SSO. En octobre 2023, Okta avait déjà été au cœur d'une affaire similaire lorsqu'un attaquant avait accédé à son système de support client via un compte de sous-traitant compromis, exposant des données appartenant à des centaines de clients. Le démenti immédiat d'Okta dans le cas Icepick ne clôt pas la question : il est possible qu'un tenant client (le DHS) ait été compromis sans que l'infrastructure centrale d'Okta le soit.

La temporalité de cet incident et sa cible — le DHS en pleine période de transition politique et de controverses sur les politiques d'immigration — suggèrent une motivation politique claire. Les groupes hacktivistes ont intensifié leurs opérations visant les agences gouvernementales américaines depuis 2024, avec une montée en puissance notable en 2025-2026. Des groupes comme SiegedSec, GhostSec et leurs successeurs ont revendiqué plusieurs intrusions dans des systèmes fédéraux, utilisant des techniques allant du credential stuffing au phishing ciblé sur des employés gouvernementaux.

Pour les professionnels de la sécurité, l'incident soulève des questions fondamentales sur la sécurisation des annuaires d'entreprise exposés via des solutions SSO cloud. Un accès à un tenant Okta compromis peut donner accès à l'ensemble des applications fédérées — un rayon d'explosion considérable. La protection de ces accès repose sur la solidité des règles d'authentification (MFA résistant au phishing, PASSkeys), la segmentation des permissions dans le tenant SSO, et la surveillance des patterns d'accès anormaux (géolocalisation, horaires, volumes de requêtes).

L'incident Icepick rappelle également le précédent DOGE de début 2025, lorsque des accès à des systèmes fédéraux sensibles avaient été accordés à des personnels extérieurs sans vérification adéquate, générant une exposition structurelle des annuaires gouvernementaux. La chaîne de confiance autour des identités fédérales américaines est sous pression depuis plusieurs années, avec des incidents répétés démontrant que l'hygiène de gestion des identités reste le maillon faible de la chaîne.

Impact et exposition

Pour les 41 000 employés du DHS concernés, les risques immédiats sont le phishing ciblé et le harcèlement, en particulier pour les agents ICE et CBP actifs dans des rôles sensibles. Sur le plan institutionnel, l'exposition des organigrammes opérationnels du DHS représente un avantage de renseignement pour des acteurs étatiques adversaires souhaitant identifier des cibles de recrutement ou de manipulation. Pour les organisations utilisant Okta SSO, l'incident doit déclencher une revue des configurations de sécurité et des politiques d'accès de leur tenant.

Recommandations

  • Auditer les configurations Okta : politiques de session, règles MFA, accès conditionnels, journaux d'authentification — rechercher des accès anormaux sur octobre-novembre 2026
  • Activer l'authentification forte résistante au phishing (FIDO2/Passkeys) pour tous les accès aux annuaires et applications critiques
  • Restreindre les permissions dans le tenant SSO selon le principe du moindre privilège — éviter les tokens d'administration à large périmètre
  • Mettre en place des alertes sur les exports d'annuaire ou les requêtes de liste volumineuses via l'API Okta ou le système d'annuaire sous-jacent
  • Former les équipes à détecter le spear-phishing ciblant les identités SSO — principal vecteur d'accès initial dans les incidents Okta-related

Okta a démenti, faut-il pour autant revoir nos configurations SSO ?

Oui. Le démenti d'Okta porte sur son infrastructure centrale, pas nécessairement sur la configuration des tenants de ses clients. Dans de nombreux incidents impliquant Okta, l'accès initial a été obtenu via un compte administrateur client compromis, via le phishing d'un employé avec des droits étendus dans le tenant, ou via un système tiers fédéré mal sécurisé. La chaîne de sécurité SSO ne se limite pas à la solidité du fournisseur : elle englobe la configuration du tenant, les politiques MFA, la gestion des comptes de service et la surveillance des accès. Un audit de configuration Okta couvre toutes ces couches.

Vos accès SSO et IAM sont-ils correctement sécurisés ?

Ayi NEDJIMI réalise des audits de configuration IAM/SSO pour identifier les brèches dans votre chaîne d'authentification avant qu'elles ne soient exploitées.

Demander un audit