Aconteceu em maio. Um empreiteiro estragou tudo. Eles deixaram a porta da frente aberta.
Brian Krebs encontrou a bagunça primeiro. Não era exatamente um erro menor, era uma situação de reféns digitais esperando para acontecer. Um funcionário de uma empresa contratada pela CISA carregou um repositório GitHub contendo resmas de senhas. Chaves de acesso para sistemas governamentais dos EUA, disponíveis para qualquer pessoa com um navegador da web.
A própria post-mortem da CISA revela uma verdade incômoda. Eles não tinham nenhum plano. Nenhum. Quando a poeira daquela descoberta inicial ainda estava baixando, a equipe da CISA não estava executando uma resposta. Eles estavam escrevendo isso.
“A equipe teve que gastar tempo construindo um manual durante os estágios iniciais do incidente.”
Pense nisso. Você é o escudo contra ataques à rede federal, mas está improvisando como segurar o escudo quando ele começa a vazar dados. Não deveria funcionar assim, mas funcionou.
Krebs percebeu a exposição. Um pesquisador do GitGuardian tentou alertar primeiro o contratante. Silêncio. O vazio não deu nada em troca. Então Krebs subiu na cadeia. Ele contatou a CISA. Só então a ação aconteceu.
O repositório caiu. Credenciais revogadas. Substituído.
Nenhum dado do cliente foi perdido. Isso é alguma coisa, eu acho. O CISA agradeceu ao repórter e ao pesquisador pelo salvamento. Foi por pouco. Talvez muito perto.
A agência admitiu que seus canais para pesquisadores eram vagos. “Não está bem definido”, eles chamavam. Eles estão consertando isso. Caminhos mais rápidos para notificação agora. Manuais para necessidades antecipadas. A ideia é que você não escreva o livro de regras durante o incêndio. Você leu antes da faísca.
Mas o atraso permanece. Um porta-voz não dirá quanto tempo foi perdido enquanto o manual estava sendo elaborado. O silêncio sobre esse detalhe fala por si.
Estamos surpresos?
A infraestrutura fica reforçada. As pessoas esquecem de corrigir. Às vezes, até os defensores precisam descobrir o que fazer quando o pânico se instala.
