È successo a maggio. Un appaltatore ha fatto un errore. Hanno lasciato la porta d’ingresso spalancata.
Brian Krebs ha trovato per primo il pasticcio. Non esattamente un errore minore, si trattava di una situazione di ostaggio digitale in attesa di verificarsi. Un dipendente di un appaltatore CISA ha caricato un repository GitHub contenente risme di password. Chiavi di accesso per i sistemi governativi degli Stati Uniti, disponibili per chiunque abbia un browser web.
L’autopsia della CISA rivela una verità scomoda. Non avevano un piano. Nessuno. Quando le acque si stavano ancora depositando dopo quella scoperta iniziale, lo staff CISA non stava ancora eseguendo una risposta. Lo stavano scrivendo.
“Il personale ha dovuto dedicare del tempo alla creazione di un programma durante le prime fasi dell’incidente.”
Pensaci. Tu sei lo scudo contro gli attacchi alla rete federale, ma stai improvvisando come mantenere lo scudo quando iniziano a trapelare dati. Non dovrebbe funzionare così, ma è così.
Krebs notò l’esposizione. Un ricercatore di GitGuardian ha provato prima ad allertare l’appaltatore. Silenzio. Il vuoto non ha restituito nulla. Quindi Krebs risalì la catena. Ha contattato la CISA. Solo allora è avvenuta l’azione.
Il deposito è crollato. Credenziali revocate. Sostituito.
Nessun dato del cliente è andato perso. Questo è qualcosa, immagino. Il CISA ha ringraziato il giornalista e il ricercatore per il salvataggio. È stata una scommessa persa. Forse troppo vicino.
L’agenzia ha ammesso che i canali per i ricercatori erano vaghi. “Non ben definito”, lo chiamavano. Lo stanno aggiustando. Percorsi più rapidi per la notifica ora. Playbook per esigenze anticipate. L’idea è che non si scrivano le regole durante l’incendio. Lo leggi prima che scoppi la scintilla.
Ma il ritardo resta. Un portavoce non dirà quanto tempo è stato perso durante la stesura del playbook. Il silenzio su questo dettaglio la dice lunga.
Siamo sorpresi?
Le infrastrutture vengono rafforzate. Le persone si dimenticano di applicare le patch. A volte, anche i difensori devono decidere cosa fare quando si scatena il panico.
