Quando as senhas se tornam públicas
Em uma grande gafe, o governo vazou na internet as senhas de diversas contas em redes sociais usadas pelo Palácio do Planalto.
O twitter @portalbrasil se apresenta como “Canal com notícias em tempo real, prestação de serviços e convergência de conteúdos do Governo Federal”. É uma conta oficial, verificada, com mais de 500.000 seguidores. Em uma sequência de falhas de opsec, o Portal compartilhou com seus seguidores uma planilha contendo as senhas das contas em redes sociais e contas de correio usadas pelo governo, incluindo a de algumas autoridades.
Em um tweet sobre a chegada da Força Nacional no RN, o Portal compartilhou por engano um link para uma planilha no Google Drive contendo as senhas. O tweet foi rapidamente apagado, mas não antes de algumas pessoas terem acesso. A notícia foi reportada em primeira mão pela coluna Radar da Revista Veja, que destaca que uma das senhas em uso era “planaltodotemer2016”, com uma observação de que não deveria ser trocada nunca.
O link continua no ar, mas agora a planilha não está mais com compartilhamento público.
Os erros de segurança de operação começam antes do tweet em questão, incluindo:
- Uso de senhas fracas
- Sem troca periódica das senhas
- Senhas salvas em arquivo, onde todos tem acesso a todas as senhas
- Arquivo com as senhas não estava protegido por senha
- Arquivo compartilhado publicamente via serviço na nuvem
- Uso de encurtadores de URL sem cuidados, o que facilita erros como colar o link errado.
Uma solução bem melhor e que resolveria as falhas acima seria armazenar as senhas em uma ferramenta especializada, como por exemplo o Secret Server. Fica a dica, Portal Brasil.
Agora imagina-se a corrida para trocar todas as senhas antes que alguém abuse das mesmas.
