Het gebeurde in mei. Een aannemer heeft het verpest. Ze lieten de voordeur wagenwijd openstaan.
Brian Krebs vond de rotzooi als eerste. Niet bepaald een kleine fout, dit was een digitale gijzeling die nog moest gebeuren. Een medewerker van een CISA-contractant heeft een GitHub-opslagplaats geüpload met grote hoeveelheden wachtwoorden. Toegangssleutels voor Amerikaanse overheidssystemen, beschikbaar voor iedereen met een webbrowser.
CISA’s eigen autopsie onthult een ongemakkelijke waarheid. Ze hadden geen plan. Geen. Toen het stof nog was neergedaald na die eerste ontdekking, voerden CISA-medewerkers geen reactie uit. Ze waren het aan het schrijven.
“Het personeel moest in de beginfase van het incident tijd besteden aan het opstellen van een draaiboek.”
Denk daar eens over na. Jij bent het schild tegen federale netwerkaanvallen, maar je bent aan het improviseren hoe je het schild moet vasthouden als het gegevens begint te lekken. Het zou niet zo moeten werken, maar het gebeurde wel.
Krebs merkte de blootstelling op. Een onderzoeker van GitGuardian probeerde als eerste de aannemer te waarschuwen. Stilte. De leegte gaf niets terug. Dus Krebs ging de keten op. Hij nam contact op met CISA. Pas toen kwam er actie.
De opslagplaats kwam naar beneden. Inloggegevens ingetrokken. Vervangen.
Er zijn geen klantgegevens verloren gegaan. Dat is iets, denk ik. CISA bedankte de verslaggever en de onderzoeker voor de redding. Het was dichtbij. Misschien te dichtbij.
Het bureau gaf toe dat hun kanalen voor onderzoekers vaag waren. ‘Niet goed gedefinieerd’, noemden ze het. Ze zijn het aan het repareren. Nu snellere paden voor meldingen. Speelboeken voor verwachte behoeften. Het idee is dat je tijdens de brand de spelregels niet schrijft. Je leest het vóór de vonk.
Maar de vertraging blijft bestaan. Hoeveel tijd er verloren is gegaan tijdens het opstellen van het draaiboek wil een woordvoerder niet zeggen. De stilte over dat detail spreekt boekdelen.
Zijn wij verrast?
De infrastructuur wordt verhard. Mensen vergeten te patchen. Soms moeten zelfs de verdedigers bedenken wat ze moeten doen als de paniek toeslaat.
