У Польщі виявили ризики для тисяч держсайтів

Двоє дослідників заявили про понад 10 000 вразливих публічних структур і 250 000 сайтів із проблемами безпеки, серед них суди, лікарні й аеропорти.

Двоє польських дослідників безпеки перевірили, наскільки захищеним є державний вебпростір країни, і виявили масштабну проблему. За їхніми словами, тисячі публічних установ і сайтів могли стати мішенню для зламу. Йдеться не про поодинокі збої, а про системні слабкі місця в інфраструктурі, якою люди користуються щодня. Про результати Роберт Кручек і Каміль Щуровський розповіли на конференції Def Con у Лас-Вегасі.

Вони пояснили, що взялися за цю роботу з почуття патріотизму та бажання зробити польський інтернет безпечнішим.

Понад 10 000 установ і 250 000 сайтів із вразливостями

За словами дослідників, вони виявили понад 10 000 уражених публічних структур і 250 000 сайтів із проблемами безпеки. Серед них — аеропорти, лікарні та урядові офіси.

Як повідомляють Новини IT-PUB, такі вразливості могли створювати ризик захоплення сайтів або інших атак. Для державних сервісів це означає не лише технічну проблему, а й потенційні збої в доступності онлайн-послуг та удар по довірі до них.

Постачальницьке ПЗ і брак каналів для повідомлень про баги

Частину проблем дослідники пов’язують із програмним забезпеченням постачальників, у якому були помилки. Ситуацію, на їхню думку, погіршує і відсутність bug bounty-програм та зрозумілих каналів, через які можна повідомляти про вразливості.

Вони також сказали, що деякі баги було дуже легко використати, але їх не завжди сприймали серйозно. За словами дослідників, окремі постачальники навіть називали такі повідомлення про помилки незручністю.

Для користувачів наслідок доволі прямий: якщо вразливість не виправляють вчасно, ризик для сервісів, через які люди отримують державні послуги, лише зростає.

Pad CMS дав доступ до сотень сайтів без пароля

Окремо Кручек і Щуровський виявили критичні вразливості у Pad CMS — поширеній системі керування контентом. За їхніми словами, це дозволяло їм легко отримати доступ до понад 300 публічних сайтів без пароля.

Проблему не виправили, бо розробка вже дійшла до статусу end of life і більше не підтримувалася. Це ще один ризик для цифрової інфраструктури: навіть широко використовуване ПЗ стає слабкою ланкою, якщо його вчасно не оновлювати або не замінювати.

Ще одна помилка, за словами дослідників, дала їм доступ до сайтів приблизно двох третин судової системи Польщі — близько 245 судів.

Знахідки пролунали на тлі спроб посилити кібероборону

Дослідження з’явилося в момент, коли Польща намагається зміцнити кібероборону після хвилі ймовірних російських атак, спрямованих на енергетичні та водні компанії країни. Частину цих зламів, як зазначається, здійснювали через слабку кібербезпеку.

На цьому тлі висновки дослідників виглядають особливо чутливими, адже йдеться про інфраструктуру, від якої залежить робота держави та повсякденний доступ людей до важливих сервісів.

Кручек і Щуровський повідомили про свої результати уряду через різні офіційні канали. Під час виступу вони сказали, що витрачені зусилля були того варті, адже після цього “ми стали трохи безпечнішими”.