Bezpečnostná katastrofa štátnej aplikácie: Banálna chyba odhalila osobné údaje takmer 400 000 ľudí testovaných na koronavírus
Slovenské aplikácie vyvinuté kvôli pandémii koronavírusu sú už dlho kritizované pre množstvo problémov a bezpečnostných nedostatkov. Najnovšie sa ukázalo chabé zabezpečenie databázy pacientov v aplikácii Moje eZdravie. Vo výsledku mohlo dôjsť k zneužitiu banálnej chyby a úniku citlivých informácií 390 000 ľudí, ktorí absolvovali testy na COVID-19. Na problém upozornila spoločnosť Nethemba a téme sa ako prvý venoval portál Živé.sk.
Etickí hackeri dokážu neraz odhaliť zraniteľnosti, ktoré by v prípade zneužitia „zlými“ hackermi mohli mať ďalekosiahle následky. Rovnako tak mohla dopadnúť aj situácia na Slovensku.
Chyba bola objavená v aplikácii Moje eZdravie, pričom ju bolo možné zneužiť jednoduchým príkazom. Spoločnosť Nethemba problém nahlásila vládnej kyberbezpečnostnej jednotke CSIRT.
Údaje stoviek tisíc ľudí boli dostupné bez zabezpečenia
Chyba bola opravená po približne 3 dňoch. K nahláseniu došlo ešte 13. septembra v neskorých večerných hodinách, no oprava bola vydaná 16. septembra v poobedňajších hodinách. Podľa odborníkov z Nethemba išlo o „triviálnu zraniteľnosť“. Jej zneužitím sa etický hacker dokázal dostať k detailným informáciám z 391 250 záznamov pacientov, pričom využili krátky príkaz vo forme:
#!/bin/bash
for (( i=8966; i < 391000; i++ )); do
wget https://mojeezdravie.nczisk.sk/api/cntnt.dnld.php/$i
done
Firme sa podarilo pri tomto etickom hackovaní identifikovať dostatočné množstvo unikátnych záznamov, mnohé z nich boli do databázy pridané len nedávno. Medzi citlivými informáciami, ktoré mohli uniknúť, boli podľa spoločnosti „meno, priezvisko, rodné číslo, dátum narodenia, pohlavie, mobilné číslo, miesto pobytu, informácie o klinických príznakoch, kód vzorky, dátum presného odberu, laboratórium, ktoré daný test vykonalo, lekár žiadateľ, číslo protokolu, dátum prijatia a vyšetrenia, druhy testu a samozrejme jeho výsledok“.
K informáciám sa mohol dostať ktokoľvek
Množstvo odhalených informácií je nanajvýš znepokojujúce a len podčiarkuje problémy súvisiace so štátnou aplikáciou Moje eZdravie. Získané informácie by v prípade skutočného hackerského útoku mohli byť zneužité na rôzne účely, vydieranie, podvodné správy a iné cielené útoky na konkrétne osoby. Všetky osobné údaje pacientov boli dostupné v nešifrovanej forme bez akéhokoľvek zabezpečenia a prístup k nim mohol získať prakticky ktokoľvek aj bez autentifikácie.
Navyše došlo aj k úniku API volaní verejným vyhľadávačom. Pomocou volania API sa informácie odošlú a spracujú späť k používateľovi. Takéto volania boli pritom indexované aj vo vyhľadávači, čo len zľahčovalo šancu, že sa k nim dostane neoprávnená osoba. Momentálne však nie je známe, či sa k týmto osobným údajom pacientov dostali aj „neetickí“ hackeri alebo iné osoby.
Čítajte viac z kategórie: Cyber
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Apple technológia, ktorá mala len hľadať stratené telefóny, spustila najväčšiu policajnú raziu v histórii krajiny
Nedá sa heknúť a chce ho aj Čína. USA začali testovať kvantový internet budúcnosti
Konferencia Junior Security Summit ukázala študentom cestu k uplatneniu
Slováci ho nepoznajú. Tento jednoduchý AI trik ti ušetrí hodiny práce (NÁVOD)
Výrobcovia sa smejú Slovákom. Do mobilov zabudovali vec, ktorá im zarába miliardy na tvoj úkor
NAJČÍTANEJŠIE ZO STARTITUP
69-ročný Slovák s majetkom 270 miliónov eur: Najväčšia výhoda mojej generácie bola, že sme boli pri prerozdeľovaní majetku
Legendárne kúpele zatvárajú brány. Slováci ich milovali pre liečivú vodu a unikátnu architektúru
Finfluenceri prezrádzajú: 8 vecí, ktoré prestali kupovať, vďaka čomu ušetrili stovky eur (ZOZNAM)
Dôchodky stúpnu o 3,7 %, matky dostanú viac. Niektorí seniori si v roku prilepšia hneď dvakrát (VÝPOČET)
Putin sa chválil novými „super tankami“. Sú to len prelakované staré stroje, odhalil detail
- 24 hod
- 48 hod
- 7 dní
-
- Toto už nie je len dron. Najväčšia zbrojovka sveta ukázala zbraň budúcnosti, ktorá zmení vojny
- Legendy na kolesách. Toto je TOP 8 áut od zaniknutých automobiliek, ktoré predbehli dobu
- Zmeny v STK zaskočili Slovákov. Vysoké pokuty hrozia aj tým, ktorí auto už nemajú (PREHĽAD)
- Vyriešili najväčší zlozvyk vodičov na diaľnici. Slovákom hrozí pokuta za činnosť, ktorú robia denne
- Vesmírne divadlo sa zmení na horor: Nočnú oblohu bombardujú Muskove „ohne“, vedci nás varovali
-
- Zmeny v STK zaskočili Slovákov. Vysoké pokuty hrozia aj tým, ktorí auto už nemajú (PREHĽAD)
- Toto už nie je len dron. Najväčšia zbrojovka sveta ukázala zbraň budúcnosti, ktorá zmení vojny
- Vyriešili najväčší zlozvyk vodičov na diaľnici. Slovákom hrozí pokuta za činnosť, ktorú robia denne
- Zostrelili UFO a kruto za to zaplatili. 23 sovietskych vojakov podľa CIA postihol desivý osud
- Rýchlo a zbesilo má problém, ktorý ho môže pochovať. Veľké finále je v ohrození
-
- Nikto niečo podobné neskúsil. Čína nechala vybuchnúť tri jadrové bomby za sebou, výsledky sú znepokojivé
- Zmeny v STK zaskočili Slovákov. Vysoké pokuty hrozia aj tým, ktorí auto už nemajú (PREHĽAD)
- Toto už nie je len dron. Najväčšia zbrojovka sveta ukázala zbraň budúcnosti, ktorá zmení vojny
- Vyriešili najväčší zlozvyk vodičov na diaľnici. Slovákom hrozí pokuta za činnosť, ktorú robia denne
- Zem je zachránená. Odborníci našli konečné riešenie na klimatickú krízu, máme ho „pod nosom“
EÚ chce vlastnú umelú inteligenciu. Cieľom je 75 % firiem s AI do roku 2030
To, čo sa stalo v Nemecku, nečakal nikto. Prémiové značky dostali tvrdú lekciu
Obľúbená čínska značka všetkých prekvapila. Otvorila obchod budúcnosti, aký si ešte nevidel
Rusko získava kľúčové západné technológie. Zelenskyj ich v zostrelených zbraniach napočítal 100-tisíc
Slovákov okrádajú o tisíce eur na podvodných portáloch. SACKA upozorňuje na dovolenkový zločin
NAJČÍTANEJŠIE ZO STARTITUP