Summary

  • O inspetor-geral da General Services Administration informou em 27 de outubro de 2026 que 116 arquivos com informação não classificada controlada estavam indevidamente acessíveis a todos os usuários do Drive da agência, inclusive funcionários e contratados sem necessidade de conhecê-los.
  • Quatorze dos 116 arquivos tinham mais de 15 MB, teto de varredura da ferramenta de prevenção de perda de dados. Gestores de segurança disseram que só descobriram esse teto após um alerta de abril de 2025. A auditoria encontrou ainda falhas nos termos de busca e ausência de aprovação prévia para o compartilhamento geral.

A exceção veio embutida na ferramenta

O comando para compartilhar com todos os usuários parece um atalho de colaboração. Para informação protegida, ele decide quem pode ler sem motivo de trabalho. Entre os 116 achados, 64 continham informação de segurança física; havia também dados pessoais e material empresarial reservado. A auditoria não precisa expor o conteúdo desses documentos para demonstrar a falha de governança: a porta foi aberta para gente demais.

Segundo a direção da GSA, seu Drive guarda cerca de 2,5 milhões de documentos. Os auditores fizeram uma busca limitada, com 39 termos, por arquivos compartilhados com todos os usuários. Não examinaram os 2,5 milhões. O total de 116 é o conjunto identificado nesse recorte, sem base para calcular a taxa de exposição do acervo inteiro.

A ferramenta deveria detectar o que a configuração mandasse procurar. Revisões anuais dos termos de busca ficaram incompletas; arquivos com termos já ativos escaparam e outros termos pertinentes nem foram incluídos. O reconhecimento óptico de caracteres estava disponível, mas desligado. Para arquivos acima de 15 MB, a varredura não chegava. Em um alerta separado de 2025, a GSA atribuiu ao tamanho a falta de detecção de 10 dos 15 documentos expostos naquela ocasião. Esses 10 e os 14 do novo levantamento pertencem a achados diferentes.

O relatório final com trechos ocultados faz sete recomendações: restringir os 116 arquivos, localizar outros casos, notificar pessoas afetadas conforme a política e corrigir aprovação, nomes de arquivos, treinamento e detecção. O diretor de tecnologia concordou. Para saber se as permissões mudaram, falta um registro datado por arquivo e testes da configuração corrigida. Concordar com o auditor é fácil; retirar acesso exige trabalho verificável.

Sources