Tulsi Gabbard ha riutilizzato la stessa password debole su più account per anni

Tulsi Gabbard, direttrice dell'intelligence nazionale, ha utilizzato la stessa password , facilmente decifrabile, per diversi account online per anni, secondo i documenti trapelati e analizzati da WIRED. A seguito della sua partecipazione a una chat di gruppo di Signal, in cui dettagli sensibili di un'operazione militare sono stati inconsapevolmente condivisi con un giornalista, la rivelazione solleva ulteriori interrogativi sulle pratiche di sicurezza del capo dell'intelligence statunitense.

WIRED ha esaminato le password di Gabbard utilizzando database di materiale trapelato online, creati dalle società di intelligence open source District4Labs e Constella Intelligence. Gabbard ha prestato servizio al Congresso dal 2013 al 2021, periodo durante il quale ha fatto parte della Commissione per le Forze Armate, della sua Sottocommissione per l'Intelligence e le Operazioni Speciali e della Commissione per gli Affari Esteri, il che le ha consentito di accedere a informazioni sensibili. Il materiale proveniente dalle violazioni mostra che, durante un periodo di questo periodo, ha utilizzato la stessa password su più indirizzi email e account online, in violazione delle consolidatebest practice per la sicurezza online. (Non vi è alcuna indicazione che abbia utilizzato la password su account governativi.)

Due raccolte di record violati, pubblicate nel 2017 (ma violate in una data precedente sconosciuta), note come "comboliste", rivelano una password utilizzata per un account email associato al suo sito web personale ; la stessa password, secondo una combolist pubblicata nel 2019, era utilizzata per il suo account Gmail. La stessa password era utilizzata, secondo i record risalenti al 2012, per gli account Dropbox e LinkedIn associati all'indirizzo email collegato al suo sito web personale. Secondo i record risalenti alle violazioni del 2018, la stessa password era stata utilizzata anche per un account MyFitnessPal associato a un indirizzo email me.com e per un account su HauteLook, un sito di e-commerce ora chiuso, all'epoca di proprietà di Nordstrom.

I registri di queste violazioni sono disponibili online da anni e sono accessibili nei database commerciali.

La password associata a tutti gli account in questione include la parola "shraddha", che sembra avere un significato personale per Gabbard: all'inizio di quest'anno, il Wall Street Journal ha riferito che era stata iniziata alla Science of Identity Foundation, una branca del movimento Hare Krishna in cui sarebbe nata e che gli ex membri hanno accusato di essere una setta. Diversi ex seguaci hanno dichiarato al Journal di credere che Gabbard abbia ricevuto il nome "Shraddha Dasi" quando sarebbe stata accolta nel gruppo. Il vice capo dello staff di Gabbard, Alexa Henning, ha risposto alle domande del Journal all'epoca pubblicandole su X e accusando i media di aver diffuso "diffamazioni indufobe e altre bugie".

"Le violazioni dei dati a cui fai riferimento sono avvenute quasi 10 anni fa e da allora le password sono cambiate più volte", ha scritto Olivia Coleman, portavoce di Gabbard, in risposta alle domande di WIRED. "Come il nostro vice capo di gabinetto ha già chiarito in diverse occasioni, il DNI non ha mai avuto e non ha alcuna affiliazione con quell'organizzazione. Tentare di screditare il DNI come membro di una setta è un comportamento bigotto".

"Le tue bigotte bugie e calunnie nei confronti di un membro del governo, e la tua storia che fomenta l'indufobia, sono state prese in considerazione", ha scritto Henning in risposta a una domanda successiva sulla probabilità che la password di Gabbard contenesse lo stesso nome con cui, a quanto si dice, sarebbe stata accolta nella Science of Identity Foundation, date le sue smentite di essere mai stata affiliata al gruppo. "Questo è stato ampiamente discusso durante la sua udienza di conferma, quindi congratulazioni per essere arrivato con circa 6 mesi di ritardo su questa storia. Ottimo lavoro."

Science of Identity non ha risposto alla richiesta di commento.

Gli esperti di sicurezza consigliano di non usare mai la stessa password su account diversi proprio perché lo fanno spesso. Se la password di un account viene rivelata durante una violazione, gli hacker spesso tentano di usarla per accedere ad altri account controllati dalla stessa persona. Riutilizzare le password è particolarmente pericoloso con la posta elettronica, perché un account di posta elettronica compromesso può essere utilizzato per reimpostare le credenziali di altri account o sistemi.

La Cybersecurity Infrastructure and Security Agency, la massima autorità governativa statunitense in materia di sicurezza digitale,consiglia ai cittadini di utilizzare un gestore di password per generare una password diversa di almeno 16 caratteri, composta da stringhe casuali di numeri maiuscoli e minuscoli, lettere e simboli o almeno quattro parole non correlate, per ogni account utilizzato.

In qualità di direttrice dell'intelligence nazionale, Gabbard supervisiona le18 organizzazioni che compongono la comunità di intelligence statunitense, tra cui la Central Intelligence Agency e la National Security Agency, e il loro budget di circa 100 miliardi di dollari . Per statuto , è la principale consigliera del presidente e del Consiglio di Sicurezza Nazionale per le questioni di intelligence relative alla sicurezza nazionale, ed è quindi incaricata di garantire la sicurezza di gran parte delle informazioni più sensibili del governo. Il Comitato Nazionale Democratico, citando una dichiarazione del 2019 secondo cui il dittatore siriano Bashar al-Assad "non era nemico degli Stati Uniti", notizie sul sostegno di cui ha goduto dai media statali russi e i suoi legami con i "teorici della cospirazione", ha definito Gabbard una "minaccia diretta alla nostra sicurezza nazionale".

Gabbard ha affrontato queste critiche durante la sua audizione di conferma al Senato a gennaio.

"Chi si oppone alla mia candidatura insinua che io sia leale a qualcosa o qualcuno diverso da Dio, dalla mia coscienza e dalla Costituzione degli Stati Uniti, accusandomi di essere la marionetta di Trump, la marionetta di Putin, la marionetta di Assad, la marionetta di un guru, la marionetta di Modi, ignorando l'assurdità di essere contemporaneamente la marionetta di cinque diversi burattinai", ha affermato. "Il fatto è che ciò che veramente inquieta i miei avversari politici è che mi rifiuto di essere la loro marionetta".