Badacze odkrywają ponad 10 000 podatnych instytucji publicznych w Polsce

Dwaj polscy badacze bezpieczeństwa przeskanowali publiczną sieć swojego kraju i znaleźli ponad 10 000 podatnych instytucji, w tym lotniska, szpitale i sądy. Przedstawili swoje odkrycia na konferencji Def Con i ujawnili krytyczne luki w systemie Pad CMS, narażając Polskę na potencjalne cyberataki.

• Odkryli 250 000 stron internetowych z lukami w zabezpieczeniach w Polsce, wpływając na ponad 10 000 instytucji publicznych.
• System zarządzania treścią Pad CMS, bez wsparcia, umożliwił dostęp bez hasła do ponad 300 stron rządowych.
• Badacze zidentyfikowali luki w 66% polskiego wymiaru sprawiedliwości, w tym 245 sądów.

Dwaj polscy badacze bezpieczeństwa, Robert Kruczek i Kamil Szczurowski, podjęli patriotyczną misję oceny bezpieczeństwa publicznej sieci w Polsce. Na konferencji Def Con w Las Vegas ujawnili, że ich skanowanie znalazło ponad 10 000 podatnych instytucji publicznych, z 250 000 stron internetowych z krytycznymi lukami.

Odkrycia obejmują lotniska, szpitale i biura rządowe. Duet wyjaśnił, że błędy były łatwe do wykorzystania, ale nie były traktowane poważnie przez dostawców.

Kontekst: fala rosyjskich ataków

Badanie odbywa się w momencie, gdy Polska zmaga się z falą rzekomych rosyjskich cyberataków skierowanych na jej dostawców energii i wody. Ataki te wykorzystały słabą cyberbezpieczeństwo, które zostało teraz udokumentowane.

Kruczek i Szczurowski chcieli zrozumieć stan publicznej sieci z patriotyzmu i pragnienia uczynienia jej bezpieczniejszą. Ich praca ujawniła alarmującą sytuację w kraju w czasie wzrastających napięć geopolitycznych.

Badacze odkryli, że niektóre błędy były niezwykle łatwe do wykorzystania, co zwiększało ryzyko przejęcia usług publicznych. Ta sytuacja stawia pod znakiem zapytania krytyczną infrastrukturę kraju.

Luki w Pad CMS

System zarządzania treścią Pad CMS, szeroko stosowany przez polskie strony internetowe do organizowania i wyświetlania treści, był krytycznym punktem luk. Oprogramowanie osiągnęło 'koniec swojego okresu użytkowania' i nie otrzymuje już wsparcia, co pozostawiło je bez ważnych poprawek.

Badacze zidentyfikowali krytyczne luki w Pad CMS, które pozwoliły im uzyskać dostęp do ponad 300 publicznych stron internetowych bez potrzeby hasła. Deweloper nie załatał oprogramowania, ponieważ przestał je utrzymywać, pozostawiając użytkowników bez ochrony.

Inny błąd pozwolił im uzyskać dostęp do stron internetowych około dwóch trzecich polskiego wymiaru sprawiedliwości, około 245 sądów. Ten nieautoryzowany dostęp mógłby pozwolić atakującym na manipulowanie informacjami sądowymi lub zakłócanie usług prawnych.

Ujawnienie tych podatnych systemów stanowi poważne ryzyko, szczególnie w kontekście konfliktów cybernetycznych z Rosją. Atakujący mogą wykorzystać te luki do przeprowadzania ataków ransomware lub kradzieży wrażliwych danych.

Kruczek i Szczurowski zgłosili swoje odkrycia rządowi polskiemu za pośrednictwem różnych oficjalnych kanałów. W swoim wystąpieniu stwierdzili, że warto było się wysilić, ponieważ w rezultacie jesteśmy 'trochę bezpieczniejsi'.

Reakcja władz i dostawców

Badanie podkreśla brak kultury bezpieczeństwa w polskiej administracji publicznej. Brak programów nagród za błędy i procesów odpowiedzialnego ujawniania zniechęca badaczy do zgłaszania luk w sposób konstruktywny.

Badacze zauważyli, że niektórzy dostawcy lekceważyli raporty o błędach jako 'niedogodności', co kontrastuje z powagą luk. Takie zachowanie naraża miliony obywateli, którzy polegają na cyfrowych usługach publicznych.

Przykład Pad CMS pokazuje niebezpieczeństwa związane z korzystaniem z oprogramowania bez aktywnego wsparcia. Wiele instytucji publicznych polega na przestarzałych systemach, które nie otrzymują aktualizacji zabezpieczeń, co stwarza furtki dla cyberprzestępców.

Rząd polski zwiększył swoje wysiłki w zakresie cyberbezpieczeństwa, ale to badanie pokazuje, że wciąż jest wiele do zrobienia. Wdrożenie polityki odpowiedzialnego ujawniania i aktualizacja oprogramowania to pilne kroki.

Implikacje dla bezpieczeństwa narodowego

Badanie pojawia się w momencie wysokiego napięcia, z atakami cybernetycznymi przypisywanymi Rosji przeciwko polskiej infrastrukturze krytycznej. Wykryte luki mogą być wykorzystywane przez aktorów państwowych do destabilizacji kraju.

Nieautoryzowany dostęp do sądów, lotnisk i szpitali może prowadzić do przerwania usług oraz manipulacji danymi sądowymi. Ryzyko jest namacalne i nie ogranicza się tylko do ujawnienia informacji, ale obejmuje również możliwość ataków destrukcyjnych.

Badacze udowodnili, że nawet przy użyciu podstawowych narzędzi można skompromitować całe systemy. Ich systematyczne skanowanie polskiej domeny publicznej jest wyraźnym ostrzeżeniem dla innych narodów, które mogą mieć podobne problemy.

Reakcja władz będzie kluczowa dla przywrócenia zaufania do bezpieczeństwa cyfrowego. Takie działania jak tworzenie programów bug bounty oraz migracja do aktywnie utrzymywanego oprogramowania są niezbędne.

Kruczek i Szczurowski nie tylko zidentyfikowali problemy, ale także zaproponowali rozwiązania. Ich oficjalny raport chwalił wysiłki, chociaż podkreślili, że potrzebne są zmiany strukturalne, aby chronić usługi publiczne.

Lekcje dla społeczności globalnej

Przypadek Polski przypomina, że bezpieczeństwo informatyczne nie jest luksusem, lecz koniecznością w erze cyfrowej. Instytucje publiczne powinny priorytetowo traktować cyberbezpieczeństwo jako część swojej odpowiedzialności wobec obywateli.

Brak konserwacji oprogramowania i brak mechanizmów zgłaszania to powszechne problemy w wielu krajach. To badanie oferuje model oceny i poprawy postawy bezpieczeństwa narodu.

Odpowiedzialne ujawnienie ze strony badaczy jest przykładem, jak społeczność bezpieczeństwa może przyczynić się do dobra publicznego. Pomimo ryzyk, ich praca zmniejszyła narażenie Polski na potencjalne ataki.

Zalecenie jest jasne: rządy powinny inwestować w cyberbezpieczeństwo, szkolić swój personel i wspierać współpracę z ekspertami zewnętrznymi. Tylko w ten sposób można złagodzić zagrożenia, które mnożą się w cyberprzestrzeni.

Praca Kruczka i Szczurowskiego nie tylko chroni Polskę, ale także służy jako ostrzeżenie dla innych krajów z kruchą infrastrukturą cyfrową. Bezpieczeństwo to ciągły wysiłek, który wymaga stałej uwagi i odpowiednich zasobów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.