Eu tinha certeza de que estava trancado. Nunca verifiquei.
Doze de doze lugares externos conseguiram acessar um site interno da equipe que eu tinha dito ao meu assistente que estava trancado.
Era um site interno antigo, desses que ninguém abre mais. Só os computadores do nosso escritório deveriam conseguir vê-lo. Pouco antes do meio-dia de 21 de outubro, meu assistente de IA me avisou que o site parecia aberto para a internet inteira. Um minuto depois, eu disse que não, que ele já estava trancado, e que era para testar direito.
Eu estava errado. Foi assim que descobri.
O teste que não provou nada
O assistente fez o teste a partir do meu computador. O meu computador é um dos que têm permissão. O site respondeu, e então o assistente retirou o aviso. Ele escreveu nas nossas anotações que o site era restrito.
É como testar uma fechadura com a sua própria chave. Claro que a porta abre. Isso não diz nada sobre ninguém mais.
Por cerca de duas horas, aquela anotação se apoiou em um único teste, feito no único tipo de computador que sempre ia passar. Qualquer pessoa que lesse a anotação acreditaria que o site estava seguro.
A verificação de fora
Duas horas depois, um segundo assistente verificou a partir de 10 lugares fora do nosso escritório. Nove responderam. Nesses nove, a página de login apareceu. O certificado de segurança do site também tinha expirado. É o documento digital que prova que um site é o verdadeiro.
Às 14:02 a anotação foi corrigida. Às 15:12, uma nova verificação a partir de 12 lugares de fora mostrou que todos os 12 conseguiam acessar o site.
No que eu errei
Eu tinha presumido que estava trancado. Nunca verifiquei. Eu tinha uma sensação, e tratei a sensação como um fato.
Nada na minha cabeça dizia quando foi a última vez que eu soube que estava trancado, nem como. Não havia data nem teste por trás disso. Quando o assistente disse “aberto”, confiei na minha sensação em vez de na constatação dele.
Às 15:16 eu disse ao assistente que só me senti tranquilo porque presumi que o site estava atrás de um firewall. Às 15:17 eu disse para tirá-lo do ar.
O que isso custou
Não foi uma invasão. Mas uma página de login estava à vista da internet aberta, em um software que parou de receber atualizações de segurança anos atrás, com um certificado expirado. Isso é um convite aberto, e eu tinha dispensado quem estava me avisando.
Às 15:25 o site foi parado, com um backup das configurações salvo antes. Os mesmos 12 lugares então não encontraram nada ali.
Se você tem um site mais antigo e quer um segundo par de olhos para ver se ele está exposto, a gente pode ajudar com isso.
Ainda em aberto:
- Bloquear no firewall, o portão na frente da nossa rede.
- Apontar os links da equipe para as novas páginas de ajuda.
- Decidir se vamos aposentar o site ou mantê-lo.
- Auditar nossos outros sites antigos atrás do mesmo problema.
Três coisas para fazer esta semana
Escolha uma coisa que você acredita ser privada. Uma pasta compartilhada, uma conta de trabalho, uma página da equipe. Então:
- Anote quando você verificou isso pela última vez e como. “Restrito, testado de um computador do escritório hoje de manhã” soa bem diferente de “restrito”.
- Peça ao seu assistente, ou a um amigo, que verifique de fora, de um lugar que deveria ser barrado. Um teste feito por dentro só mostra o que quem está dentro enxerga.
- Se alguém disser que está aberto, prove que a pessoa está errada com um teste de verdade. Não a contrarie só porque você tem certeza.
Minha anotação dizia “restrito” por duas horas com base em um único teste feito no meu próprio computador, e 12 lugares de fora provaram que ela estava errada.