Badacze przedstawili wyniki swojej pracy podczas konferencji cyberbezpieczeństwa Def Con w Las Vegas. Jak wyjaśniali, zdecydowali się przeprowadzić badanie z jednej strony z pobudek związanych z bezpieczeństwem Polski, a z drugiej z chęci sprawdzenia, w jakim stanie znajduje się publiczna część krajowego internetu. O sprawie pisze serwis TechCrunch.

Sądy, szpitale i urzędy z lukami bezpieczeństw

W trakcie analizy znaleźli ponad 10 tys. podatnych podmiotów publicznych oraz około 250 tys. stron internetowych, na których występowały luki bezpieczeństwa.

Problem dotyczył m.in. oprogramowania dostarczanego przez zewnętrznych producentów. Badacze zwracali uwagę, że część wykorzystywanych systemów zawierała błędy, które mogły zostać wykorzystane przez atakujących. Jednocześnie w wielu przypadkach brakowało programów bug bounty, czyli mechanizmów pozwalających bezpiecznie zgłaszać znalezione luki.

Kruczek i Szczurowski podkreślali również, że niektóre błędy były stosunkowo łatwe do wykorzystania. Mimo to zgłoszenia dotyczące podatności nie zawsze były traktowane z należytą powagą. Według badaczy zdarzało się, że dostawcy oprogramowania postrzegali informacje o znalezionych lukach raczej jako niedogodność niż sygnał wymagający szybkiej reakcji.

Setki stron dostępnych bez hasła

Jednym z przykładów był Pad CMS, szeroko wykorzystywany system zarządzania treścią. Badacze znaleźli w nim krytyczne podatności, które pozwalały uzyskać dostęp do ponad 300 publicznych stron internetowych bez konieczności podawania hasła. Problem nie został naprawiony przez producenta. Powodem było zakończenie cyklu życia oprogramowania – system nie był już wspierany.

Jeszcze większy zasięg miała inna zidentyfikowana luka. Według badaczy pozwalała ona uzyskać dostęp do stron około dwóch trzecich polskiego sądownictwa. Chodziło o około 245 sądów. Badacze przekazali informacje o wykrytych problemach polskim władzom, korzystając z różnych oficjalnych kanałów zgłaszania podatności.

Temat wzmacniania polskiej infrastruktury cyfrowej jest obecnie wyjątkowo istotny. W ostatnim czasie nasz kraj mierzy się m.in. z falą cyberataków wymierzonych w dostawców energii i wody. Ataki są prawdopodobnie inicjowane przez Rosję. Część takich procederów była możliwa właśnie dzięki wykorzystaniu słabych zabezpieczeń.

Badanie Kruczka i Szczurowskiego pokazuje więc, że problem nie ogranicza się do pojedynczych incydentów. Luki mogą występować w dużej liczbie publicznie dostępnych systemów, a dodatkowym problemem pozostaje sposób reagowania na informacje o znalezionych podatnościach.

Podczas prezentacji na Def Con badacze ocenili, że mimo problemów przeprowadzenie badania i zgłoszenie wykrytych luk miało sens. Ich zdaniem dzięki podjętym działaniom polski internet jest obecnie „trochę bezpieczniejszy”.

Ostatnio głośno było o cyberataku wymierzonym w sieć sklepów Żabka – sprawą zajęła się już prokuratura. Żabka poinformowała, że wykryła nieautoryzowany dostęp do części zasobów technicznych wykorzystywanych do wymiany informacji pomiędzy franczyzodawcą a franczyzobiorcami. Według spółki atak został przeprowadzony z wykorzystaniem konta należącego do zewnętrznego dostawcy usług.