DOGE como um ataque cibernético de Estado

DOGE como um ataque cibernético de Estado

• Nas últimas semanas, o governo dos EUA sofreu uma das violações de segurança mais graves de sua história. Não foi causada por um ataque cibernético sofisticado nem por espionagem estrangeira, mas por ordens oficiais de um bilionário cujo papel no governo não está claro.

• Pessoas ligadas ao recém-criado Departamento de Eficiência Governamental (DOGE) acessaram sistemas de computador do Tesouro dos EUA e passaram a ter a capacidade de coletar e controlar dados de pagamentos federais que somam cerca de US$ 5,45 trilhões por ano.

• É possível que pessoas não autorizadas do DOGE tenham acessado e copiado dados confidenciais da Agência dos Estados Unidos para o Desenvolvimento Internacional, e registros do Office of Personnel Management (OPM) e do Medicare e Medicaid também foram comprometidos.

• Nomes de funcionários da CIA foram enviados para contas de e-mail não oficiais com censura parcial, e integrantes do DOGE inseriram dados do Departamento de Educação em software de inteligência artificial e também iniciaram atividades no Departamento de Energia.

• Em 8 de fevereiro, um juiz federal bloqueou o acesso adicional da equipe do DOGE aos sistemas do Tesouro, mas a solução ainda é incerta, já que eles podem já ter copiado dados e instalado ou modificado software.

• Os sistemas aos quais o DOGE teve acesso são elementos centrais da infraestrutura nacional, e os sistemas do Tesouro contêm o blueprint tecnológico da movimentação de recursos do governo federal.

• O caso é sem precedentes porque operadores externos, com experiência limitada e supervisão mínima, estão atuando abertamente e obtendo acesso administrativo de mais alto nível às redes mais sensíveis dos EUA, além de promover alterações nelas.

• O ponto mais preocupante não é apenas a concessão de acesso, mas o desmonte sistemático das medidas de segurança. Isso remove protocolos padrão de resposta a incidentes, mecanismos de auditoria e rastreamento de mudanças, substituindo-os por operadores inexperientes.

• Os sistemas de computador do Tesouro foram projetados com princípios semelhantes aos dos protocolos de lançamento de armas nucleares, para que nenhuma pessoa sozinha tenha autoridade irrestrita. Esse é o princípio de segurança chamado "separação de funções", uma proteção essencial para evitar corrupção e erros.

• Pessoas ligadas ao DOGE obtiveram permissão para modificar programas centrais dos computadores do Tesouro, acessar chaves criptográficas e alterar logs de auditoria que registram mudanças no sistema.

• Modificações nesses sistemas não apenas prejudicam as operações atuais, como também deixam vulnerabilidades que podem ser exploradas em ataques futuros.

• Três áreas principais de segurança estão ameaçadas: manipulação de sistemas, exposição de dados e controle de sistemas.

• Para corrigir essas vulnerabilidades, é necessário revogar acessos não autorizados e restaurar protocolos adequados de autenticação, além de retomar o monitoramento abrangente dos sistemas e a gestão de mudanças.

• Isso não é uma questão política, mas de segurança nacional, e agências de inteligência estrangeiras podem explorar o caos e a nova instabilidade para roubar dados dos EUA e instalar backdoors.

[GN⁺]

Comentários no Hacker News

• A preocupação com a possibilidade de atores hostis ou países inimigos obterem dados e entenderem como atacar o país é válida
  • Há uma diferença entre funcionários eleitos agirem de forma tola ou insegura e pessoas não eleitas fazerem isso sem qualquer controle
  • Respeito a opinião de Bruce Schneier e recomendo este post para evitar que todas as publicações sobre este tema sejam sinalizadas
• Pode haver falhas na lógica de Schneier
  • Há relatos de que "eles estão treinando software de IA com esses dados sensíveis"
  • Executar inferência não é a mesma coisa que treinamento
  • Este post não deveria ser sinalizado; isso vai contra a liberdade de expressão
  • Há muitas pessoas no HN que valorizam os insights dele
  • É melhor expressar opiniões contrárias nos comentários do que tentar fazer com que desapareçam
• Se o país sobreviver a esse caos, o software terá de ser reescrito do zero
  • Caso contrário, não haverá como saber quais atores estrangeiros e domésticos têm conhecimento do sistema
• Schneier não deveria ser sinalizado
  • Estou esperando há dias por uma avaliação calma e abrangente dos riscos de cibersegurança
  • Esta é a avaliação mais próxima disso que podemos obter
• É preciso reconhecer o princípio da cerca de Chesterton
  • "A cerca de Chesterton" é o princípio de que não se deve fazer reformas antes de entender a razão do estado atual das coisas
• As ações continuarão até que haja consequências impostas
  • Essas consequências devem ser legislativas ou legais
• Se for da vontade de Deus, o estado administrativo será colocado de joelhos por funcionários eleitos para contê-lo
• As empresas são o quarto ramo informal do governo
  • Se o mercado de ações despencar, elas desaparecerão
  • A torneira das doações de campanha e dos lobistas para os políticos será fechada
  • O pânico e a liderança vão mudar
  • Citizens United permite que dinheiro obscuro de qualquer lugar sustente campanhas indefinidamente, mas isso não é suficiente para compensar uma queda do mercado de ações causada pela perda de confiança no dólar americano e no mercado
• Artigo relacionado: "Tesouro foi alertado de que o acesso do DOGE foi marcado como 'ameaça interna'"
  • A avaliação feita pela Booz Allen Hamilton ocorreu antes da nomeação de um aliado de Elon Musk como supervisor de sistemas sensíveis de pagamento
• A contratada do governo Booz Allen Hamilton disse ter demitido, na noite de sexta-feira, o subcontratado que preparou o relatório
  • Tratava-se de um rascunho de relatório que afirmava que o acesso do Department of Government Efficiency de Elon Musk ao sistema de pagamentos do Tesouro criava um "risco sem precedentes de ameaça interna" e deveria ser interrompido imediatamente