Bezpečnostná katastrofa štátnej aplikácie: Banálna chyba odhalila osobné údaje takmer 400 000 ľudí testovaných na koronavírus
Predplatné PREMIUM na mesiac ZDARMA.
Slovenské aplikácie vyvinuté kvôli pandémii koronavírusu sú už dlho kritizované pre množstvo problémov a bezpečnostných nedostatkov. Najnovšie sa ukázalo chabé zabezpečenie databázy pacientov v aplikácii Moje eZdravie. Vo výsledku mohlo dôjsť k zneužitiu banálnej chyby a úniku citlivých informácií 390 000 ľudí, ktorí absolvovali testy na COVID-19. Na problém upozornila spoločnosť Nethemba a téme sa ako prvý venoval portál Živé.sk.
Etickí hackeri dokážu neraz odhaliť zraniteľnosti, ktoré by v prípade zneužitia „zlými“ hackermi mohli mať ďalekosiahle následky. Rovnako tak mohla dopadnúť aj situácia na Slovensku.
Chyba bola objavená v aplikácii Moje eZdravie, pričom ju bolo možné zneužiť jednoduchým príkazom. Spoločnosť Nethemba problém nahlásila vládnej kyberbezpečnostnej jednotke CSIRT.
Údaje stoviek tisíc ľudí boli dostupné bez zabezpečenia
Chyba bola opravená po približne 3 dňoch. K nahláseniu došlo ešte 13. septembra v neskorých večerných hodinách, no oprava bola vydaná 16. septembra v poobedňajších hodinách. Podľa odborníkov z Nethemba išlo o „triviálnu zraniteľnosť“. Jej zneužitím sa etický hacker dokázal dostať k detailným informáciám z 391 250 záznamov pacientov, pričom využili krátky príkaz vo forme:
#!/bin/bash
for (( i=8966; i < 391000; i++ )); do
wget https://mojeezdravie.nczisk.sk/api/cntnt.dnld.php/$i
done
Firme sa podarilo pri tomto etickom hackovaní identifikovať dostatočné množstvo unikátnych záznamov, mnohé z nich boli do databázy pridané len nedávno. Medzi citlivými informáciami, ktoré mohli uniknúť, boli podľa spoločnosti „meno, priezvisko, rodné číslo, dátum narodenia, pohlavie, mobilné číslo, miesto pobytu, informácie o klinických príznakoch, kód vzorky, dátum presného odberu, laboratórium, ktoré daný test vykonalo, lekár žiadateľ, číslo protokolu, dátum prijatia a vyšetrenia, druhy testu a samozrejme jeho výsledok“.
K informáciám sa mohol dostať ktokoľvek
Množstvo odhalených informácií je nanajvýš znepokojujúce a len podčiarkuje problémy súvisiace so štátnou aplikáciou Moje eZdravie. Získané informácie by v prípade skutočného hackerského útoku mohli byť zneužité na rôzne účely, vydieranie, podvodné správy a iné cielené útoky na konkrétne osoby. Všetky osobné údaje pacientov boli dostupné v nešifrovanej forme bez akéhokoľvek zabezpečenia a prístup k nim mohol získať prakticky ktokoľvek aj bez autentifikácie.
Navyše došlo aj k úniku API volaní verejným vyhľadávačom. Pomocou volania API sa informácie odošlú a spracujú späť k používateľovi. Takéto volania boli pritom indexované aj vo vyhľadávači, čo len zľahčovalo šancu, že sa k nim dostane neoprávnená osoba. Momentálne však nie je známe, či sa k týmto osobným údajom pacientov dostali aj „neetickí“ hackeri alebo iné osoby.
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Ľudia prosia, aby ju zrušili. YouTube dostal historicky najhoršiu aktualizáciu
Spoznaj najväčšiu hrozbu súčasnosti. WormGPT sa replikuje, využíva AI a nakazí ťa aj e-mailom
Veľké spojenie na trhu dostalo zelenú. Fúziu gigantov schválil kľúčový úrad
Škandál najlepšej AI súčasnosti. Otvorene sa priznali k ohavnej praktike
Politici našli úplne nový spôsob, ako zo Slovákov spraviť ovce. Zistili sme, ktorá strana manipuluje najviac
- 24 hod
- 48 hod
- 7 dní
-
- Nový paušál a ďalšie novinky. O2 predstavil veľké zmeny, tu je prehľad
- Majitelia zúria, Cybertruck sa topí v problémoch. Tesla sa uchýlila k drastickému kroku
- Herné nebo je tu. Prichádza prvý trailer na legendárnu českú hru
- Toto nedokáže ani iPhone. Známy výrobca prestavil model, po ktorom sa Slováci budú trhať
- Videli sme seriál roka. Apokalyptické sci-fi je splnený sen, je ešte lepšie ako The Last of Us
-
- Nový paušál a ďalšie novinky. O2 predstavil veľké zmeny, tu je prehľad
- Majitelia zúria, Cybertruck sa topí v problémoch. Tesla sa uchýlila k drastickému kroku
- Herné nebo je tu. Prichádza prvý trailer na legendárnu českú hru
- Toto nedokáže ani iPhone. Známy výrobca prestavil model, po ktorom sa Slováci budú trhať
- Videli sme seriál roka. Apokalyptické sci-fi je splnený sen, je ešte lepšie ako The Last of Us
-
- Videli sme seriál roka. Apokalyptické sci-fi je splnený sen, je ešte lepšie ako The Last of Us
- Astronautom dáva čudné schopnosti. Túto vec na cestovaní vesmírom stále nechápeme
- Najlepší seriál v histórii Netflixu pohorel. Slováci najviac kritizujú kontroverzné rozhodnutie
- Chcú zakázať šoférovanie cez víkend. Európska veľmoc šokovala vodičov
- Na toto nie si pripravený. Prví diváci videli Gladiátor 2, toto o ňom hovoria
Ryanair chce od Boeingu v priebehu pár mesiacov až 40 lietadiel
Apple pripravuje novinku, ako ťa presvedčiť ku kúpe Vision Pro. Toto prinesie
Máš PC či Mac? Logitech chce zaviesť tlačidlo, ktoré ťa prepojí s ChatGPT
Nová aktualizácia pre Meta Quest 3 priniesla skvelú vychytávku, ktorú závidí aj Apple Vision Pro
Lietajúce taxíky prídu už v roku 2026. Známy výrobca dronov dostal obrovskú investíciu
Copyright© 2024 by Startitup, s. r. o. Všetky práva vyhradené