Expunerea a peste 70.000 de fișiere ale Armatei SUA timp de peste un an, inclusiv după o notificare către CISA, arată un risc operațional major în lanțul de furnizori ai guvernului american, nu doar o problemă punctuală de configurare, potrivit TechRadar.

Setul de date, care includea înregistrări despre personal militar, date despre contractori și imagini realizate în interiorul bazelor militare, a fost identificat într-un director „scurs” (o locație accesibilă public) descoperit inițial în 2024. Deși Agenția pentru Securitate Cibernetică și Infrastructură (CISA) ar fi fost informată în același an de cercetătorul Arkadeep Roy, expunerea a rămas activă până cel puțin în aprilie 2026.

Cum a fost posibilă expunerea

Investigația a fost realizată de cercetători de la Cybernews, după ce au primit un pont pe 16 martie 2026 și au început verificările a doua zi. Ei au confirmat că datele erau expuse printr-o vulnerabilitate de tip „Open Directory Listing” (listare deschisă de directoare), adică un server configurat astfel încât permite vizualizarea și descărcarea fișierelor fără autentificare, și au raportat cazul către CMI Management și CISA pe 18 martie 2026, conform Cybernews.

Directorul ar fi aparținut CMI Management Inc., contractor al guvernului SUA, parte din Dexterra Group. TechRadar notează că, potrivit site-ului companiei, aceasta furnizează servicii de administrare a facilităților guvernamentale.

Ce tip de date au fost expuse și de ce contează

Cybernews spune că a publicat exemple de imagini puternic redactate, care ar include formulare de mentenanță, e-mailuri între angajați și fotografii ale infrastructurii interne. În material sunt menționate și scheme ale bazelor și fotografii interne, considerate deosebit de sensibile.

Riscurile operaționale invocate în articol includ:

• posibilitatea de phishing (mesaje frauduloase) și tentative de impersonare folosind date despre personal și contractori;
• folosirea detaliilor personale pentru a încerca acces neautorizat în instalații militare;
• utilizarea schemelor și a fotografiilor interne pentru a construi hărți detaliate ale bazelor și a identifica puncte slabe de structură și securitate.

Într-o declarație citată de TechRadar, echipa Cybernews pune accent pe faptul că date sensibile au rămas stocate nesigur „peste un an”, chiar și după ce autoritățile ar fi fost notificate:

„Scurgerea de date este îngrijorătoare, deoarece date sensibile ale armatei SUA au fost stocate nesigur peste un an, chiar și după ce CISA ar fi fost notificată. Acest lucru arată că, inclusiv când e vorba de armată și facilitățile sale, este prea des întâlnit ca datele să fie stocate nesigur, iar eforturile de remediere nu sunt prioritizate nici după notificarea autorităților relevante.”

Context: reacția CISA pe zona de „întărire” a configurațiilor

TechRadar leagă cazul de un context mai larg: după un atac cibernetic care a afectat Stryker Corporation, CISA a publicat în martie 2026 o alertă cu recomandări pentru întărirea configurațiilor sistemelor de management al echipamentelor (endpoint management). Alerta CISA este disponibilă aici: CISA.

Pentru companii, inclusiv furnizori care lucrează cu instituții publice, episodul indică o problemă de guvernanță și control: o expunere simplă, de tip „director deschis”, poate rămâne activă mult timp dacă nu există procese ferme de inventariere a datelor, monitorizare și remediere rapidă după notificări. TechRadar precizează că Cybernews a alertat CMI Management, dar nu ar fi primit imediat un răspuns.