O governo do Reino Unido adotou como padrão publicar de forma aberta, há cerca de uma década, os códigos que produz com dinheiro público, por considerar isso transparente e por reduzir custos, já que facilita a reutilização de código. Isso inclui o Departamento de Saúde e Assistência Social, o Home Office (Ministério do Interior), além das autoridades locais.
Mas os cortes de verba fizeram com que os órgãos deixassem de lado a manutenção e a melhoria de sua infraestrutura tecnológica. Enquanto o pesquisador de segurança Chris Nesbitt-Smith, da ControlPlane, encontrou as vulnerabilidades usando os modelos de inteligência artificial (IA) Opus e Sonnet, da Claude, ele afirma que usou modelos de consumo comum em um notebook e que muitos dos problemas poderiam ter sido detectados por uma verificação rotineira de saúde de TI (tecnologia da informação). “Nada disso chega ao nível de sofisticação com que a imprensa em geral se preocupa quando se fala em ataques cibernéticos”, diz ele à WIRED. “É tudo coisa boba.”
No caso mais grave que identificou, a Planning Inspectorate, responsável por questões de uso da terra na Inglaterra, não havia removido totalmente um login depois de publicá-lo acidentalmente no repositório público GitHub. O fato de as credenciais darem acesso tão amplo, e aparentemente não expirarem, somado à publicação acidental, “tornou a situação particularmente perigosa para eles”.
Segundo Nesbitt-Smith, a conta completa do Microsoft Entra ID daria acesso “de nível deus” para leitura e gravação em todos os sites do SharePoint e nas contas privadas do OneDrive dos funcionários, incluindo registros de recursos humanos (RH). Também daria acesso a bibliotecas sensíveis que guardam provas sob retenção legal para investigações e recursos de planejamento, segundo o pesquisador que a encontrou. “A possibilidade de aplicar ransomware contra eles, criptografar todos os dados ou simplesmente roubar todos eles estava absolutamente disponível”, afirma Nesbitt-Smith.
Um porta-voz da Planning Inspectorate disse à WIRED que suas ferramentas de monitoramento cibernético detectaram imediatamente a atividade de Nesbitt-Smith em agosto e que o órgão já vinha tratando o caso como incidente cibernético quando a ControlPlane entrou em contato. A agência identificou e corrigiu a vulnerabilidade em 20 minutos após o relato e verificou que não houve vazamento de dados. “Revisamos e reforçamos nossos sistemas e processos para evitar que esse tipo de problema se repita, e somos gratos ao pesquisador pelo trabalho e por nos alertar”, disseram à WIRED.
Sobre o caso da Planning Inspectorate, Amanda Brock, diretora-executiva (CEO, na sigla em inglês) da OpenUK, organização sem fins lucrativos do setor, afirmou que o problema “não é sobre código aberto, mas sobre higiene interna ao usar ferramentas públicas”. “Esses dados foram expostos por uma falha em seguir um bom processo”, acrescenta ela. “Isso não é um problema de segurança de código aberto.”
Em cerca de dois terços das 349 bases de código do setor público de 33 organizações escaneadas por Nesbitt-Smith, ele disse ter encontrado vulnerabilidades. Várias delas estavam no código do Departamento de Educação, incluindo um serviço de compras usado por escolas, um serviço de aplicativo para professores que continha dados pessoais, qualificações, histórico de emprego e documentos de identidade, e o principal registro inglês de provedores de treinamento e aprendizagem financiados pelo governo. Ele também encontrou uma vulnerabilidade em um portal de dados abertos do Governo escocês que permitiria a qualquer visitante ler informações de contas administrativas e alterar a configuração do site. As organizações já trataram os problemas.
Recentemente, surgiram argumentos a favor de que órgãos do setor público deixem de publicar código-fonte de forma aberta, já que a IA acelerou a descoberta de vulnerabilidades. O NHS (Serviço Nacional de Saúde do Reino Unido) teria ordenado que suas equipes de tecnologia deixassem de usar código aberto em maio, em meio a preocupações de segurança sobre o impacto dos modelos de IA.
Fazer isso sem corrigir imediatamente os problemas subjacentes seria o “pior cenário”, segundo Nesbitt-Smith, pois impede que pesquisadores como ele encontrem as falhas. Além disso, é provável que um invasor já tenha espelhado esses repositórios e, assim, mantenha acesso a eles. “A não ser que você vá corrigir todos os problemas, se alguma coisa, você provavelmente está chamando mais atenção para isso ao fechar”, diz Nesbitt-Smith, “porque você está pensando: ‘Aqui há dragões. Mas não olhem para cá, por favor.’”
