Bezpečnostná katastrofa štátnej aplikácie: Banálna chyba odhalila osobné údaje takmer 400 000 ľudí testovaných na koronavírus
Slovenské aplikácie vyvinuté kvôli pandémii koronavírusu sú už dlho kritizované pre množstvo problémov a bezpečnostných nedostatkov. Najnovšie sa ukázalo chabé zabezpečenie databázy pacientov v aplikácii Moje eZdravie. Vo výsledku mohlo dôjsť k zneužitiu banálnej chyby a úniku citlivých informácií 390 000 ľudí, ktorí absolvovali testy na COVID-19. Na problém upozornila spoločnosť Nethemba a téme sa ako prvý venoval portál Živé.sk.
Etickí hackeri dokážu neraz odhaliť zraniteľnosti, ktoré by v prípade zneužitia „zlými“ hackermi mohli mať ďalekosiahle následky. Rovnako tak mohla dopadnúť aj situácia na Slovensku.
Chyba bola objavená v aplikácii Moje eZdravie, pričom ju bolo možné zneužiť jednoduchým príkazom. Spoločnosť Nethemba problém nahlásila vládnej kyberbezpečnostnej jednotke CSIRT.
Údaje stoviek tisíc ľudí boli dostupné bez zabezpečenia
Chyba bola opravená po približne 3 dňoch. K nahláseniu došlo ešte 13. septembra v neskorých večerných hodinách, no oprava bola vydaná 16. septembra v poobedňajších hodinách. Podľa odborníkov z Nethemba išlo o „triviálnu zraniteľnosť“. Jej zneužitím sa etický hacker dokázal dostať k detailným informáciám z 391 250 záznamov pacientov, pričom využili krátky príkaz vo forme:
#!/bin/bash
for (( i=8966; i < 391000; i++ )); do
wget https://mojeezdravie.nczisk.sk/api/cntnt.dnld.php/$i
done
Firme sa podarilo pri tomto etickom hackovaní identifikovať dostatočné množstvo unikátnych záznamov, mnohé z nich boli do databázy pridané len nedávno. Medzi citlivými informáciami, ktoré mohli uniknúť, boli podľa spoločnosti „meno, priezvisko, rodné číslo, dátum narodenia, pohlavie, mobilné číslo, miesto pobytu, informácie o klinických príznakoch, kód vzorky, dátum presného odberu, laboratórium, ktoré daný test vykonalo, lekár žiadateľ, číslo protokolu, dátum prijatia a vyšetrenia, druhy testu a samozrejme jeho výsledok“.
K informáciám sa mohol dostať ktokoľvek
Množstvo odhalených informácií je nanajvýš znepokojujúce a len podčiarkuje problémy súvisiace so štátnou aplikáciou Moje eZdravie. Získané informácie by v prípade skutočného hackerského útoku mohli byť zneužité na rôzne účely, vydieranie, podvodné správy a iné cielené útoky na konkrétne osoby. Všetky osobné údaje pacientov boli dostupné v nešifrovanej forme bez akéhokoľvek zabezpečenia a prístup k nim mohol získať prakticky ktokoľvek aj bez autentifikácie.
Navyše došlo aj k úniku API volaní verejným vyhľadávačom. Pomocou volania API sa informácie odošlú a spracujú späť k používateľovi. Takéto volania boli pritom indexované aj vo vyhľadávači, čo len zľahčovalo šancu, že sa k nim dostane neoprávnená osoba. Momentálne však nie je známe, či sa k týmto osobným údajom pacientov dostali aj „neetickí“ hackeri alebo iné osoby.
Čítajte viac z kategórie: Cyber
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Hackeri získali 47 TB dát a uzamkli zamestnancov v budove. Ruský dodávateľ dronov ostal paralyzovaný
Ušetria ti kopu práce každý deň. TOP 10 rozšírení do prehliadača, ktoré absolútne potrebuješ
Aj ty môžeš byť hacker. Toto je TOP 10 nástrojov, s ktorými sa nabúraš (takmer) hocikam
Máš plné zuby Windowsu? Toto je TOP 10 distribúcií Linuxu pre hráčov, študentov a ďalších
Slovákom hrozí to najhoršie. Uniklo 16 miliárd hesiel a nikto si to nevšimol, hackeri majú prístup ku všetkému
NAJČÍTANEJŠIE ZO STARTITUP
Prekvapivý zvrat na trhu práce mení rebríček najžiadanejších absolventov vysokých škôl. Jednotkou už nie je IT
EÚ schválila 18. balík sankcií proti Rusku. Fico ustúpil tlaku
Fico otočil, EÚ prijala nový balík sankcií proti Rusku. Takéto majú byť garancie pre Slovensko
Snoop Dogg sa stal spolumajiteľom známeho futbalového klubu: „Príbeh klubu a regiónu ma oslovil“
Analýza miliónov letov šokuje cestujúcich a odhaľuje prekvapivú pravdu o spoľahlivosti európskych aeroliniek
- 24 hod
- 48 hod
- 7 dní
-
- Najväčší hit Netflixu úplne prehliadli. Toto sú podľa kritikov najlepšie seriály roka
- Prehliadaná krajina prechádza desivou premenou za miliardy. Čína ju zbrojí na úroveň superveľmocí
- Krvavý turnaj je späť. Mortal Kombat 2 dostal prvé video, dorazí čoskoro
- Tento pohon áut vôbec nie je taký čistý, ako si mysleli. V novej štúdii ho elektromobily rozdupali
- Záhadný kameň v Egypte nechal vedcov v nemom úžase. Odhalil tajomstvo ukryté 5000 rokov
-
- Vedci našli niečo, čo popiera fyziku. Výbuch jadrovej bomby vytvoril materiál, ktorý nemal existovať
- Českí filmári zobrali „dezolátov“ na Ukrajinu a ukázali im vojnu. Takto vyzerali ich reakcie (VIDEO)
- Prehliadaná krajina prechádza desivou premenou za miliardy. Čína ju zbrojí na úroveň superveľmocí
- Netflix opäť trafil do čierneho. Drsnú krimi sériu považujú kritici za jeden z najlepších seriálov roka
- Nočná mora Rusov funguje. Ukrajina dostala od USA špeciálne zariadenia, ktoré môžu rozhodnúť vojnu
-
- Väčšina Slovákov o nej ani netuší. Ak porušíš túto povinnosť, hrozí ti pokuta 1200 €
- Taiwan ukázal svetu, čo sa stane, ak zaútočí Čína. V kľúčovom teste všetkých zarazili
- Nočná mora Rusov funguje. Ukrajina dostala od USA špeciálne zariadenia, ktoré môžu rozhodnúť vojnu
- Týmto raketám neunikne nikto. Kórea do nich vložila niečo, čo zlikviduje akýkoľvek cieľ
- Našiel som dokonalé rodinné auto. Na novej Dacii som prešiel 1 400 km do Chorvátska, otvorila mi oči
Svetový úspech vedcov SAV: Slováci vyvinuli zbraň proti vírusu, ktorý môže spúšťať rakovinu
Aplikácia Slovenskej pošty sa mení na digitálnu pobočku: Pribudnú kľúčové novinky
Slováci nakupujú inak, predajcov pribúda. E-shopy u nás prechádzajú premenou
Slovákov masívne ohrozuje nový typ kybernetického útoku. Je horší než phishing
USA zavedú jednotné clá. Zasiahne to vyše 150 krajín naraz
NAJČÍTANEJŠIE ZO STARTITUP