Falhas de segurança em sites do governo do Reino Unido expuseram informações de “nível divino”
Um pesquisador de segurança encontrou mais de 100 vulnerabilidades graves em códigos governamentais do Reino Unido disponíveis publicamente, colocando dados confidenciais em risco como resultado de uma higiene cibernética deficiente.
O governo do Reino Unido optou por publicar abertamente o código que produz com dinheiro público durante cerca de uma década porque é transparente e facilitar a reutilização do código é rentável. Isto inclui o Departamento de Saúde e Assistência Social e o Ministério do Interior, bem como as autoridades locais.
Mas as restrições de financiamento fizeram com que os departamentos negligenciassem a manutenção e a melhoria do seu património tecnológico. Embora o pesquisador de segurança da ControlPlane, Chris Nesbitt-Smith, tenha encontrado as vulnerabilidades usando os modelos Opus e Sonnet AI de Claude, ele diz que usou modelos de consumo em um laptop e que muitos dos problemas poderiam ter sido detectados por uma verificação rotineira de integridade de TI. “Nada disso é o nível de sofisticação que preocupa a mídia em geral em termos de ataques cibernéticos”, disse ele à WIRED. “É tudo bobagem.”
No caso mais grave que ele identificou, a Inspetoria de Planejamento, que cuida de questões de uso da terra em toda a Inglaterra, não conseguiu remover totalmente um login depois de acidentalmente enviá-lo ao repositório público GitHub. O facto de as credenciais darem um acesso tão amplo – e aparentemente não expirarem –, agravado pela publicação acidental das mesmas pela agência, “tornou-as particularmente perigosas para eles”.
O Microsoft Entra ID completo daria acesso de leitura e gravação “de nível divino” a todos os sites do SharePoint e contas privadas do OneDrive de funcionários, de acordo com Nesbitt-Smith, incluindo registros de RH. Também teria dado acesso a bibliotecas sensíveis que protegem provas sob guarda legal para consultas e recursos de planeamento legal, de acordo com o investigador de segurança que as encontrou. “A opção de resgate, de criptografar todos os dados ou simplesmente roubar todos os dados estava presente em abundância”, diz Nesbitt-Smith.
Um porta-voz da Inspetoria de Planejamento disse à WIRED que suas ferramentas de monitoramento cibernético detectaram imediatamente a atividade de Nesbitt-Smith em agosto e que já estava tratando isso como um incidente cibernético quando o ControlPlane fez contato. A agência identificou e corrigiu esta vulnerabilidade 20 minutos após o relatório e verificou que não ocorreu nenhuma violação de dados. “Revisamos e fortalecemos nossos sistemas e processos para evitar a recorrência desse tipo de problema e somos gratos pelo trabalho do pesquisador e por nos alertar sobre isso”, disseram à WIRED.
A questão da Inspeção de Planejamento “não tem a ver com código aberto, mas sim com a manutenção interna ao usar ferramentas públicas”, disse Amanda Brock, diretora executiva do grupo industrial sem fins lucrativos OpenUK. “Esses dados foram expostos devido a uma falha em seguir um bom processo”, acrescenta ela. “Isso não é um problema de segurança de código aberto.”
Em cerca de dois terços das 349 bases de código do setor público em 33 organizações examinadas por Nesbitt-Smith, ele disse ter encontrado vulnerabilidades. Vários destes foram encontrados no código do Departamento de Educação, incluindo num serviço de compras utilizado pelas escolas, num serviço de candidatura de professores contendo dados pessoais, qualificações, histórico profissional e documentos de identidade, e no principal registo de fornecedores de formação e aprendizagem financiados pelo governo em Inglaterra. Ele também encontrou uma vulnerabilidade em um portal de dados abertos do governo escocês que teria permitido a qualquer visitante ler informações administrativas da conta e alterar a configuração do site. Desde então, as organizações têm lidado com as questões.
Recentemente, tem havido argumentos para que os departamentos do setor público parem de publicar código-fonte abertamente, agora que a IA acelerou a descoberta de vulnerabilidades. O NHS supostamente ordenou que as equipes de tecnologia abandonassem o código-fonte aberto em maio, em meio a preocupações de segurança sobre o impacto dos modelos de IA.
Fazer isto sem corrigir imediatamente os problemas subjacentes seria o “pior cenário”, de acordo com Nesbitt-Smith, pois impede que investigadores como ele os encontrem, e é provável que um adversário já tenha espelhado estes repositórios e assim mantenha o acesso a eles. “A menos que você vá resolver todos os problemas, se for o caso, provavelmente estará chamando mais atenção ao fechá-lo”, diz Nesbitt-Smith, “porque você pensa: ‘Aqui estão dragões neste espaço. Mas não olhe aqui, por favor.’”
