Bezpečnostná katastrofa štátnej aplikácie: Banálna chyba odhalila osobné údaje takmer 400 000 ľudí testovaných na koronavírus
Slovenské aplikácie vyvinuté kvôli pandémii koronavírusu sú už dlho kritizované pre množstvo problémov a bezpečnostných nedostatkov. Najnovšie sa ukázalo chabé zabezpečenie databázy pacientov v aplikácii Moje eZdravie. Vo výsledku mohlo dôjsť k zneužitiu banálnej chyby a úniku citlivých informácií 390 000 ľudí, ktorí absolvovali testy na COVID-19. Na problém upozornila spoločnosť Nethemba a téme sa ako prvý venoval portál Živé.sk.
Etickí hackeri dokážu neraz odhaliť zraniteľnosti, ktoré by v prípade zneužitia „zlými“ hackermi mohli mať ďalekosiahle následky. Rovnako tak mohla dopadnúť aj situácia na Slovensku.
Chyba bola objavená v aplikácii Moje eZdravie, pričom ju bolo možné zneužiť jednoduchým príkazom. Spoločnosť Nethemba problém nahlásila vládnej kyberbezpečnostnej jednotke CSIRT.
Údaje stoviek tisíc ľudí boli dostupné bez zabezpečenia
Chyba bola opravená po približne 3 dňoch. K nahláseniu došlo ešte 13. septembra v neskorých večerných hodinách, no oprava bola vydaná 16. septembra v poobedňajších hodinách. Podľa odborníkov z Nethemba išlo o „triviálnu zraniteľnosť“. Jej zneužitím sa etický hacker dokázal dostať k detailným informáciám z 391 250 záznamov pacientov, pričom využili krátky príkaz vo forme:
#!/bin/bash
for (( i=8966; i < 391000; i++ )); do
wget https://mojeezdravie.nczisk.sk/api/cntnt.dnld.php/$i
done
Firme sa podarilo pri tomto etickom hackovaní identifikovať dostatočné množstvo unikátnych záznamov, mnohé z nich boli do databázy pridané len nedávno. Medzi citlivými informáciami, ktoré mohli uniknúť, boli podľa spoločnosti „meno, priezvisko, rodné číslo, dátum narodenia, pohlavie, mobilné číslo, miesto pobytu, informácie o klinických príznakoch, kód vzorky, dátum presného odberu, laboratórium, ktoré daný test vykonalo, lekár žiadateľ, číslo protokolu, dátum prijatia a vyšetrenia, druhy testu a samozrejme jeho výsledok“.
K informáciám sa mohol dostať ktokoľvek
Množstvo odhalených informácií je nanajvýš znepokojujúce a len podčiarkuje problémy súvisiace so štátnou aplikáciou Moje eZdravie. Získané informácie by v prípade skutočného hackerského útoku mohli byť zneužité na rôzne účely, vydieranie, podvodné správy a iné cielené útoky na konkrétne osoby. Všetky osobné údaje pacientov boli dostupné v nešifrovanej forme bez akéhokoľvek zabezpečenia a prístup k nim mohol získať prakticky ktokoľvek aj bez autentifikácie.
Navyše došlo aj k úniku API volaní verejným vyhľadávačom. Pomocou volania API sa informácie odošlú a spracujú späť k používateľovi. Takéto volania boli pritom indexované aj vo vyhľadávači, čo len zľahčovalo šancu, že sa k nim dostane neoprávnená osoba. Momentálne však nie je známe, či sa k týmto osobným údajom pacientov dostali aj „neetickí“ hackeri alebo iné osoby.
Čítajte viac z kategórie: Cyber
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Aj ty môžeš byť hacker. Toto je TOP 10 nástrojov, s ktorými sa nabúraš (takmer) hocikam
Máš plné zuby Windowsu? Toto je TOP 10 distribúcií Linuxu pre hráčov, študentov a ďalších
Slovákom hrozí to najhoršie. Uniklo 16 miliárd hesiel a nikto si to nevšimol, hackeri majú prístup ku všetkému
EXKLUZÍVNE: Slovákov okráda „falošná Alza”. Experti varujú, že ťa pripraví o všetky peniaze
Stačí, že spustíš populárne aplikácie. Notebooky odpočúvajú Slovákov, riešenie zatiaľ neexistuje
NAJČÍTANEJŠIE ZO STARTITUP
ŠÚKL stiahol z trhu 2 populárne lieky: Varuje pred možnou kontamináciou, skontroluj svoju lekárničku
Splatiť hypotéku skôr, alebo radšej investovať? Expert ukázal, čo môže Slovákom ušetriť tisíce eur (ROZHOVOR)
Rodinný dom s pozemkom za 17 000 eur: Štát predáva nepotrebný majetok za rozprávkové ceny
KVÍZ Len 15 % Slovákov vie odpovedať na všetky otázky. Prever svoje znalosti zo všeobecného prehľadu o svete
Terapia, ktorá prepíše starnutie: Kľúčom k predĺženiu života je proteín známy ako „strážca dlhovekosti“
- 24 hod
- 48 hod
- 7 dní
-
- V Európe sa vylodili tisícky čínskych elektromobilov. Doviezla ich obrovská loď so šokujúcim pohonom a výkonom
- Rusi zúfalo zháňajú peniaze. Ázijskému štátu ponúkajú svoje najmodernejšie zbrane, má to háčik
- Rusi ani netušili, čo im zlikvidovalo najdrahší systém. Ukrajina použila zbraň, akú svet ešte nevidel
- Európsky štát odštartoval jadrovú revolúciu. Urán pochovaný, prichádza lacná elektrina pre všetkých
- Čína oživila zabudnutý technologický skvost Sovietov. Unikli zábery lietadla, aké svet nevidel roky
-
- Rusi ani netušili, čo im zlikvidovalo najdrahší systém. Ukrajina použila zbraň, akú svet ešte nevidel
- V Európe sa vylodili tisícky čínskych elektromobilov. Doviezla ich obrovská loď so šokujúcim pohonom a výkonom
- Do Ameriky doletí za 90 minút. Prelomové lietadlo v prvých testoch všetkých prekvapilo
- Japonsko čelí obrovskej kritike. Púšťa sa do riskantnej ťažby surovín, ktorú ešte nikto nevyskúšal
- Čína oživila zabudnutý technologický skvost Sovietov. Unikli zábery lietadla, aké svet nevidel roky
-
- Rusi ani netušili, čo im zlikvidovalo najdrahší systém. Ukrajina použila zbraň, akú svet ešte nevidel
- Európa do neho investovala miliardy eur, teraz ho ľudia nechcú. Predaj energetického zariadenia prudko klesol
- Vedci našli skrytý trik, ako obnoviť zrak. Takéto niečo by ti nikdy nenapadlo
- Celý život triedila plasty. Žena neverila vlastným očiam, keď pomocou AirTagu zistila, kde končia
- Lacný ako Fabia, výkonný ako Porsche. Známa značka spustila predaj auta s dojazdom 2 000 km
Slováci prepadli pri výbere auta novému trendu. Čísla hovoria za všetko, pozor však na riziká
AI pretransformuje spoločnosť, tvrdí odborník. Varuje pred kľúčovou chybou, ktorú robíme
Nepríjemná správa pre motoristov na Slovensku. Analytik predpovedá ceny palív, susedia sú na tom lepšie
Cukrovkári dostali nádej na život bez striekačiek. Vedci vyvinuli liečbu, ktorá donúti telo k tvorbe inzulínu
Mladí Slováci podľahli nebezpečnému trendu. Umelá inteligencia im nahrádza jednu z najdôležitejších vecí
NAJČÍTANEJŠIE ZO STARTITUP