Um pesquisador de segurança encontrou mais de 100 vulnerabilidades graves em códigos governamentais do Reino Unido disponíveis publicamente, colocando dados confidenciais em risco como resultado de uma higiene cibernética deficiente.
O governo do Reino Unido optou por publicar abertamente o código que produz com dinheiro público durante cerca de uma década porque é transparente e facilitar a reutilização do código é rentável. Isto inclui o Departamento de Saúde e Assistência Social e o Ministério do Interior, bem como as autoridades locais.
Mas apertos de financiamento deixaram os departamentos negligenciando a manutenção e a melhoria de seu patrimônio tecnológico. Embora o pesquisador de segurança da ControlPlane, Chris Nesbitt-Smith, tenha encontrado as vulnerabilidades usando A obra de Claude e modelos Sonnet AI, ele diz que usou modelos de consumo em um laptop e que muitos dos problemas poderiam ter sido detectados por uma verificação de rotina da integridade da TI. “Nada disso é o nível de sofisticação que preocupa a mídia em geral em termos de ataques cibernéticos”, disse ele à WIRED. “É tudo bobagem.”
No caso mais grave que identificou, a Inspecção de Planeamento, que trata de questões de uso do solo em toda a Inglaterra, tinha fracassado para remover completamente um login após ele acidentalmente enviá-lo para um repositório público GitHub. O facto de as credenciais darem um acesso tão amplo – e aparentemente não expirarem –, agravado pela publicação acidental das mesmas pela agência, “tornou-as particularmente perigosas para eles”.
O Microsoft Entra ID completo daria acesso de leitura e gravação “de nível divino” a todos os sites do SharePoint e contas privadas do OneDrive de funcionários, de acordo com Nesbitt-Smith, incluindo registros de RH. Também teria dado acesso a bibliotecas sensíveis que protegem provas sob guarda legal para consultas e recursos de planeamento legal, de acordo com o investigador de segurança que as encontrou. “A opção de resgate, de criptografar todos os dados ou simplesmente roubar todos os dados estava presente em abundância”, diz Nesbitt-Smith.
Um porta-voz da Inspetoria de Planejamento disse à WIRED que suas ferramentas de monitoramento cibernético detectaram imediatamente a atividade de Nesbitt-Smith em agosto e que já estava tratando isso como um incidente cibernético quando o ControlPlane fez contato. A agência identificou e corrigiu esta vulnerabilidade 20 minutos após o relatório e verificou que não ocorreu nenhuma violação de dados. “Revisamos e fortalecemos nossos sistemas e processos para evitar a recorrência desse tipo de problema e somos gratos pelo trabalho do pesquisador e por nos alertar sobre isso”, disseram à WIRED.
A questão da Inspeção de Planejamento “não tem a ver com código aberto, mas com a manutenção interna ao usar ferramentas públicas”, disse Amanda Brock, diretora executiva do grupo industrial sem fins lucrativos OpenUK. “Esses dados foram expostos devido a uma falha em seguir um bom processo”, acrescenta ela. “Isso não é um problema de segurança de código aberto.”
Em cerca de dois terços das 349 bases de código do setor público em 33 organizações examinadas por Nesbitt-Smith, ele disse ter encontrado vulnerabilidades. Vários deles foram encontrados no código do Departamento de Educação, inclusive em um serviço de compras utilizado pelas escolas, em um serviço de inscrição para professores contendo detalhes pessoais, qualificações, histórico de emprego e documentos de identidade, e da Inglaterra registro principal de prestadores de formação e aprendizagem financiados pelo governo. Ele também encontrou uma vulnerabilidade em um Governo escocês portal de dados aberto que permitiria a qualquer visitante ler informações administrativas da conta e alterar a configuração do site. Desde então, as organizações têm lidado com as questões.
Recentemente, houve argumentos que os departamentos do setor público parem de publicar código-fonte abertamente, agora que a IA acelerou a descoberta de vulnerabilidades. O Serviço Nacional de Saúde supostamente ordenou que as equipes de tecnologia abandonassem o código-fonte aberto em maio, em meio a preocupações de segurança sobre o impacto dos modelos de IA.
Fazer isto sem corrigir imediatamente os problemas subjacentes seria o “pior cenário”, de acordo com Nesbitt-Smith, pois impede que investigadores como ele os encontrem, e é provável que um adversário já tenha espelhado estes repositórios e assim mantenha o acesso a eles. “A menos que você vá resolver todos os problemas, se for o caso, provavelmente estará chamando mais atenção ao fechá-lo”, diz Nesbitt-Smith, “porque você pensa: ‘Aqui estão dragões neste espaço. Mas não olhe aqui, por favor.'”
Compartilhe esta publicação
Ajude a levar esta informação adiante — publique no seu perfil.