- NLRBの内部告発者は、Elon Musk傘下のDOGE部門が機微な労働紛争データを10GB超、無断でダウンロードしたと主張
- DOGEアカウントは管理者権限でログ監視を回避し、外部のGitHubコード3件をダウンロードしており、このうち1件にはWebスクレイピングとブルートフォース攻撃に使われるIPローテーション技術が含まれていた
- 中核スタッフのMarko Elezはこの技術の最新版をGitHubにアップロードしており、過去には情報セキュリティ規則違反や物議を醸す発言で問題視された人物
- 別のダウンロード済みコードには、APIリバースエンジニアリングツール Integuruと自動化ブラウザ Browserlessが含まれる
- Elezのコード品質はGitHubで厳しく批判され、その後当該リポジトリは削除された
DOGEアカウントによる機微情報へのアクセス
- 内部告発者のDaniel J. Berulisは、DOGE職員が3月3日にNLRBへ**最上位権限の管理者アカウント（tenant admin）**の作成を要求したと主張
- これらのアカウントはあらゆるネットワークログ監視の対象外で、データの読み取り／コピー／改変およびログ改ざんが可能だった
- Berulisとその上司にはこうした権限がなかったにもかかわらず、DOGEはそれを取得した
GitHubコードのダウンロードとIPローテーションツール
- DOGEアカウントは外部GitHubリポジトリ3件をダウンロードしており、そのうち1件は**「pseudo-infinite IPs」を生成するライブラリ**だった
- このライブラリはWebスクレイピングとブルートフォースによるログイン試行に利用される
- このコードはGitHubユーザーGe0rg3が作成した
requests-ip-rotatorから派生したもので、Marko Elezがこれを基にasync-ip-rotatorを2025年1月に作成した
Marko Elezとその論争
- Marko ElezはX、SpaceX、xAIなどMuskの複数企業の出身で、現在は労働省所属として複数の政府機関に派遣されている
- 過去に財務省勤務中、機微情報の流出で問題となり、人種差別的発言を巡る騒動の後に解雇されたが、その後復職した
- Politicoは、Elezが過去に最高レベルのセキュリティポリシー違反を犯したと報じた
追加でダウンロードされたコードとセキュリティ論争
- 追加でダウンロードされたGitHubリポジトリは以下の通り:
- Integuru: WebサイトAPIをリバースエンジニアリングするフレームワーク
- Browserless: ブラウザプールを活用したWeb自動化ツール
- GitHubユーザーはasync-ip-rotatorの安全性と拡張性に深刻な問題があると指摘
- 「本番レベルのシステムでこのコードが使われているなら、直ちにセキュリティ監査を受けるべきだ」と評された
NLRBの機能停止と政治的背景
- トランプ大統領はNLRB委員3人を解任し、機関の機能を事実上まひさせた
- 現在、AmazonとSpaceXはNLRBが違憲だと主張して係争中だが、3月5日に控訴裁判所はこれを退けた
- Berulisは、このデータ流出が特定企業に労働紛争で不当な優位性を与え得ると警告
- 「労組オーガナイザーを特定した後、解雇が可能になる」
1件のコメント
Hacker Newsの意見
Ge0rg3のコードは「オープンソース」であり、誰でも非商用で複製・再利用できる
asyncが追加されるなど軽微な変更がある内部告発者Daniel J. Berulisの苦情によれば、2025年3月11日ごろ、NxGenメトリクスが異常な使用を示していた
DOGE職員がアクセスしてはならないデータにアクセスした
DOGE職員がAWSのIPアドレスプールを使って制限を回避できるコードをダウンロードした
DOGE職員がAWSの「無制限」のIPアドレスを使ってWebページを自動スクレイピングし、内部NLRBデータベースから機密データをコピーすることで、どのように利益を得られたのか疑問である
Marko Elezのコードに対する批判がGitHubの「issues」ページに投稿された
TeslaとSpace-XのCEOがスクリプトキディを雇ったという主張がある
誰かがこの件で刑務所に行くべきだという主張がある
GitHubで公開されたパッケージについて批判している
政府データベースに対する追跡不能で完全なアクセスが懸念されている
Berulisは、上司たちがUS-CERTに報告するなと言ったため公表したと主張している