A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) pode ter escapado de uma grande violação de segurança graças a um pesquisador de boa-fé que identificou credenciais expostas publicamente, permitindo acesso a sistemas governamentais na nuvem e internos.
Conforme noticiado pelo repórter independente Brian Krebs, o pesquisador do GitGuardian Guillaume Valadon encontrou uma grande quantidade de credenciais em texto claro listadas em planilhas, que haviam sido disponibilizadas publicamente em um repositório do GitHub por um funcionário de um contratada da CISA. Valadon afirmou que as credenciais expostas permitiam acesso a sistemas da CISA e de sua agência matriz, o Departamento de Segurança Interna (DHS).
As credenciais incluíam tokens de acesso, chaves de nuvem e outros arquivos confidenciais. Valadon testou algumas das chaves para verificar se eram válidas e reportou a falha a Krebs, uma vez que a contratada responsável pelo ambiente GitHub não respondeu aos seus alertas. A falha é particularmente embaraçosa para a CISA, que é responsável pela segurança cibernética em toda a rede civil federal e também aconselha sobre as melhores práticas de segurança, incluindo armazenamento de senhas em gerenciadores seguros, não em planilhas desprotegidas.
Não está claro se alguém além de Valadon encontrou ou utilizou as credenciais. Procurada pelo TechCrunch, a CISA não comentou imediatamente ou informou se há evidências de violação decorrente dessa exposição. O TechCrunch questionou se a agência revogou e substituiu as credenciais expostas após o incidente. Embora o incidente tenha sido atribuído a um funcionário de uma contratada da CISA, a agência é a responsável final pela segurança de sua rede e sistemas, incluindo os de contratados que trabalham para ela.
