DHS 外洩聲稱指向 Okta：企業應重查身分權限

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-30

美國國土安全部（DHS）據報有約 4.1 萬名聯邦僱員及承包商的資料被公開，內容據稱包括姓名、工作電郵、電話、辦公地點，以及內部群組與權限設定；當中或牽涉執法人員和臥底行動資訊。受影響者面對的人身安全、釣魚詐騙及社交工程風險，會比一般個人資料外洩更高。

不過，這宗事件現時仍主要建基於駭客團體與 DDoSecrets 的說法，外洩資料的完整性、實際取得途徑和受影響範圍均有待獨立核實。TechNews 科技新報報道，DHS 表示已得悉潛在入侵威脅並正處理；被指為入口的身分管理供應商 Okta 則稱，沒有證據顯示其系統或資料遭入侵。因此，現階段不能把事件直接定性為 Okta 漏洞或其平台被攻破。

為何權限資料特別敏感

TechNews 科技新報指出，駭客組織聲稱從 DHS 使用的 Okta 單一登入（SSO）系統取得資料，資料更新至 2026 年 8 月 19 日。名單據稱涵蓋 DHS 本部及七個附屬機構；其中約 2.1 萬筆屬海關與邊境保護局（CBP），約 1 萬筆屬移民與海關執法局（ICE），另有近千筆涉及網絡安全暨基礎設施安全局（CISA）。

若資料中的群組與權限設定屬實，風險不止是「誰在甚麼部門工作」。攻擊者可藉此推測哪些帳戶接觸特定工具、服務或工作流程，再設計更可信的冒充訊息，或鎖定高權限帳戶。對執法機構而言，職務、辦公位置和存取範圍的組合，也可能增加人員被識別及針對的機會。

這亦解釋為何身分資料一旦外流，影響未必取決於是否包含密碼。SSO 集中處理登入，能減少使用者反覆管理帳戶的負擔，但同時令群組、角色、應用程式指派和管理權限成為重要的攻擊資訊。即使未能證實攻擊者如何取得資料，已公開的權限脈絡本身也可能被用作下一輪攻擊的偵察材料。

企業可先做的三項核查

對使用 Okta 或其他雲端身分管理服務的機構而言，這宗事件較實際的啟示，是把身分系統當作關鍵基礎設施，並以「權限資訊可能已被對手掌握」的情境檢視防線。

盤點高影響權限：列出可管理身分平台、建立或修改群組、指派 app、重設帳戶及存取敏感雲端服務的帳戶；核實權限是否仍配合現職需要。
收窄及輪換憑證：檢查管理員帳戶、服務帳戶及自動化整合所用憑證，移除閒置存取權，並按內部風險程序輪換仍需保留的秘密資料。
偵測帳戶濫用：集中審閱異常登入位置、短時間內大量群組或權限變更、新增管理員、可疑 app 指派及不尋常的憑證操作。若已有事件應變流程，應預先界定這些訊號由誰處理及何時升級調查。

這些措施未能證明或否定 DHS 事件的技術成因，但可降低帳戶資料、組織架構或權限關係外洩後被放大的風險。香港採用雲端身分管理的企業亦可借此重新檢視：一個帳戶失守或一份權限名單流出時，攻擊者究竟可推進到哪些服務。

接下來應留意 DHS 對資料真確性、涉及系統及處置範圍的進一步交代，以及 Okta 是否披露更多可供客戶核對的技術資訊。在此之前，任何把事件歸因於特定產品漏洞或已確認入侵路徑的說法，都應審慎看待。