هشدار جدی در لهستان؛ کشف رخنه امنیتی در فرودگاه‌ها، بیمارستان‌ها و دادگاه‌ها توسط محققان سایبری

دو محقق امنیت سایبری اهل لهستان با هدف بررسی میزان آسیب‌پذیری اینترنت کشورشان در برابر حملات سایبری احتمالی، دست به اسکن گسترده وب زدند و به سرعت دریافتند که هزاران نهاد عمومی و وب‌سایت دولتی در معرض خطر جدی هک قرار دارند.

به گزارش مستر دانستنی به نقل از تک‌کرانچ، روبرت کروچک (Robert Kruczek) و کامل شچوروفسکی (Kamil Szczurowski)، دو پژوهشگر امنیت سایبری، روز جمعه در کنفرانس امنیتی دف کن (Def Con) در لاس‌وگاس اعلام کردند که بر اساس حس وطن‌دوستی و تمایل به ایمن‌تر ساختن فضای وب برای همه شهروندان، تصمیم به بررسی وضعیت امنیت سایبری پورتال‌های عمومی لهستان گرفتند.

شناسایی ۱۰ هزار نهاد عمومی و ۲۵۰ هزار وب‌سایت آسیب‌پذیر در لهستان

این دو پژوهشگر در مدت زمان کوتاهی موفق به کشف بیش از ۱۰,۰۰۰ نهاد عمومی آسیب‌پذیر شدند که در مجموع شامل ۲۵۰,۰۰۰ وب‌سایت دارای نقص امنیتی بود. در میان این موارد، مراکز حساس و زیرساخت‌های کلیدی مانند فرودگاه‌ها، بیمارستان‌ها و ادارات دولتی به چشم می‌خوردند.

محققان دریافتند که وجود نرم‌افزارهای معیوب و دارای باگ توسعه‌دهندگان، در کنار نبود برنامه‌های پاداش کشف باگ (Bug Bounty) و کانال‌های رسمی برای گزارش نواقص امنیتی، خدمات عمومی لهستان را در معرض خطر جدی حملات سایبری و هک قرار داده است. آن‌ها همچنین اشاره کردند که برخی از این باگ‌ها به طرز شگفت‌آوری ساده و قابل سوءاستفاده بودند، اما همیشه جدی گرفته نمی‌شدند؛ تا جایی که برخی فروشندگان نرم‌افزار، گزارش‌های باگ را صرفاً یک «دردسر و زحمت اضافی» تلقی می‌کردند.

رابطه با هک‌های منسوب به روسیه و باگ‌های حیاتی Pad CMS

این پژوهش در حالی منتشر می‌شود که کشور لهستان پس از موجی از حملات سایبری مشکوک از سوی روسیه که ارائه‌دهندگان انرژی و آب این کشور را هدف قرار داده بود، در تلاش است تا دفاع سایبری خود را تقویت کند. برخی از این هک‌ها دقیقاً با سوءاستفاده از ضعف‌های ابتدایی و ضعیف بودن امنیت سایبری انجام شده بودند.

کروچک و شچوروفسکی موفق به کشف آسیب‌پذیری‌های بحرانی در سیستم مدیریت محتوای پرکاربرد Pad CMS شدند که به آن‌ها اجازه می‌داد بدون نیاز به هیچ‌گونه رمز عبور، به راحتی به بیش از ۳۰۰ وب‌سایت عمومی دسترسی پیدا کنند. توسعه‌دهنده این نرم‌افزار، به دلیل پایان یافتن دوره پشتیبانی (End of Life)، هیچ به‌روزرسانی یا پچی برای رفع این آسیب‌پذیری سایبری منتشر نکرده بود.

نفوذ به سیستم قضایی لهستان و گزارش به دولت

علاوه بر این، باگ دیگری به این دو محقق اجازه داد تا به وب‌سایت‌های حدود دو سوم از سیستم قضایی لهستان (شامل حدود ۲۴۵ دادگاه) دسترسی پیدا کنند.

این دو پژوهشگر یافته‌های خود را از طریق کانال‌های رسمی مختلف به دولت لهستان گزارش دادند. آن‌ها در طول سخنرانی خود در **کنفرانس Def Con** تاکید کردند که با وجود تمام سختی‌ها و دردسرهای این مسیر، این کار ارزشش را داشت؛ چرا که در نهایت منجر شد فضای سایبری لهستان «قدری ایمن‌تر» شود.

منبع خبر: تک‌کرانچ (TechCrunch)