Cercetători IT au descoperit mii de site-uri și instituții publice din Polonia vulnerabile la atacuri cibernetice

Două cercetători polonezi în securitate cibernetică au vrut să afle cât de vulnerabil este internetul din țara lor la potențiale atacuri, iar în scurt timp au descoperit că mii de instituții și site-uri publice sunt expuse riscului de a fi sparte.

La conferința de securitate cibernetică Def Con din Las Vegas, desfășurată vineri, specialiștii în securitate Robert Kruczek și Kamil Szczurowski au explicat că și-au propus să înțeleagă starea infrastructurii web publice a Poloniei din patriotism și din dorința de a o face mai sigură pentru toți utilizatorii.

Foarte repede, cei doi au identificat peste 10.000 de entități publice afectate și aproximativ 250.000 de site-uri cu vulnerabilități de securitate, printre care se numără aeroporturi, spitale și birouri guvernamentale. Lista a arătat o amploare îngrijorătoare a problemelor.

Cercetătorii au constatat că programele defectuoase furnizate de anumiți vendori, combinate cu absența programelor de tip bug bounty și a unor mecanisme clare de raportare a vulnerabilităților, expun serviciile publice ale Poloniei la riscul de preluare neautorizată și alte atacuri informatice. Ei au subliniat că unele erori erau extrem de ușor de exploatat, dar nu erau tratate cu seriozitate, unii furnizori catalogând rapoartele de bug-uri drept simple neplăceri.

Această cercetare apare într-un moment în care Polonia încearcă să-și consolideze apărarea cibernetică, după un val de atacuri suspectate a proveni din Rusia, care au vizat furnizori de energie și apă din țară. O parte dintre aceste atacuri au reușit prin exploatarea unor măsuri slabe de securitate informatică, ceea ce a amplificat presiunea pentru întărirea protecției.

Kruczek și Szczurowski au descoperit mai multe vulnerabilități în sistemul de gestionare a conținutului Pad CMS, larg utilizat pentru organizarea și afișarea conținutului pe site-uri. Pad CMS este folosit pe scară largă de proprietarii de site-uri, inclusiv de instituții publice, pentru administrarea paginilor web.

Cei doi au identificat defecțiuni critice într-un sistem web bazat pe Pad CMS, care le-au permis să acceseze cu ușurință peste 300 de site-uri publice fără a avea nevoie de parolă. Dezvoltatorul software nu a remediat problemele, pe motiv că produsul ajunsese la stadiul de „end of life” și nu mai era susținut oficial, ceea ce a lăsat numeroase platforme expuse.

O altă vulnerabilitate a făcut posibil accesul neautorizat la site-urile a aproximativ două treimi din sistemul judiciar al Poloniei, adică în jur de 245 de instanțe, au precizat cercetătorii. Acest lucru ridică semne serioase de întrebare privind protecția datelor și integritatea comunicării online a instanțelor.

Duo-ul de cercetători a raportat concluziile investigației lor către autoritățile statului prin diverse canale oficiale, încercând să determine o reacție rapidă și corectarea vulnerabilităților descoperite.

Cei doi au declarat în prezentarea lor că efortul și eforturile birocratice au meritat, subliniind că, în urma muncii depuse, acum suntem „un pic mai în siguranță”. Mesajul lor transmite ideea că, deși problemele sunt numeroase, astfel de analize contribuie la creșterea securității cibernetice la nivel național.