Vulnerabilidades de segurança generalizadas no código do governo do reino unido expõem dados sensíveis

Um pesquisador de segurança identificou mais de 100 vulnerabilidades graves em bases de código acessíveis ao público pertencentes a vários órgãos do governo do Reino Unido, destacando problemas decorrentes de higiene cibernética inadequada. O pesquisador, Chris Nesbitt-Smith da ControlPlane, observou que, embora tenha utilizado os modelos de IA Claude's Opus e Sonnet, muitas falhas poderiam ter sido detectadas através de verificações de saúde de TI padrão. Em um caso crítico envolvendo o Planning Inspectorate, credenciais que concediam acesso de leitura e escrita extensivo a todos os sites SharePoint e contas OneDrive privadas — incluindo registros de RH — foram acidentalmente publicadas no GitHub. Nesbitt-Smith afirmou que este acesso, que incluía evidências sensíveis sob custódia legal, representava um risco significativo de ransomware ou roubo de dados. O Planning Inspectorate confirmou que suas ferramentas de monitoramento detectaram a atividade em agosto e resolveram o problema em 20 minutos, afirmando que fortaleceram seus processos. Amanda Brock, CEO da OpenUK, esclareceu que o incidente do Planning Inspectorate foi uma falha de processo interno, e não uma falha de segurança de código aberto. A análise de Nesbitt-Smith abrangia 349 bases de código do setor público em 33 organizações, encontrando problemas em departamentos como Educação, incluindo um serviço que continha dados pessoais e um portal do Governo da Escócia que permitia alterações de configuração. Em meio a essas descobertas, o NHS supostamente direcionou equipes para abandonar o código de código aberto em maio devido a preocupações com a segurança da IA.