Falha expõe credenciais da CISA e coloca sistemas governamentais em risco
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) evitou uma possível intrusão de grandes proporções após um pesquisador independente localizar chaves de acesso sensíveis disponíveis publicamente na internet. O incidente, que envolve dados críticos da agência e do Departamento de Segurança Interna, foi descoberto por Guillaume Valadon, especialista do GitGuardian.
Como as credenciais foram expostas
O problema teve origem em um repositório do GitHub mantido por um funcionário de uma empresa contratada pela CISA. O colaborador armazenou planilhas contendo credenciais em texto simples, tornando-as acessíveis a qualquer pessoa. Entre os dados expostos, estavam:
- Tokens de acesso;
- Chaves de infraestrutura em nuvem;
- Arquivos bloqueados de sistemas internos.
Valadon confirmou a validade das chaves por meio de testes antes de levar o caso a público. A decisão de divulgar a falha ocorreu após infrutíferas de contato com o contratado pelo repositório, que ignorou os alertas sobre a vulnerabilidade.
Impacto e resposta oficial
A situação gera um desgaste significativo para a CISA, órgão que atua como autoridade máxima na proteção da rede federal civil americana. A agência é a principal responsável por ditar diretrizes de segurança, incluindo a recomendação estrita de que senhas e chaves nunca sejam armazenadas em documentos desprotegidos.
Marco di Sandro, porta-voz da CISA, declarou que a instituição está investigando o caso. Segundo o representante, até o momento, não há evidências de que informações sensíveis tenham sido acessadas ou comprometidas por terceiros mal-intencionados. Contudo, a agência não confirmou se as credenciais expostas foram revogadas ou remanescentes.
A CISA mantém a responsabilidade final pela integridade de sua rede e sistemas, o que inclui a supervisão rigorosa das práticas exigidas por seus contratados externos.
Cenário de instabilidade na agência
O incidente ocorre em um período crítico para a CISA, que enfrenta desafios administrativos e operacionais. Desde 20 de janeiro de 2025, a agência opera sem um diretor permanente, após a saída de Jen Easterly no período de transição para a administração Trump.
Além da lacuna na liderança, a estrutura organizacional sofreu duros impactos nos últimos meses. Dados mostram que a CISA perdeu cerca de um terço de sua força de trabalho devido a uma combinação de cortes orçamentários, demissões e licenças não remuneradas rompidas desde o início do atual governo.
Fonte: Techcrunch
