Урядові сайти Великої Британії виявилися вразливими через витік облікових даних

Дослідник компанії ControlPlane Кріс Несбітт-Сміт виявив значні вразливості в програмному забезпеченні державних установ Великої Британії, включаючи Міністерство охорони здоров’я та соціального забезпечення, Міністерство внутрішніх справ, а також органи місцевої влади. За допомогою моделей штучного інтелекту фахівець проаналізував 349 сховищ відкритого коду та виявив проблеми у двох третинах із них.

Про це повідомляє Wired

Найбільш критичний інцидент стався в Плановій інспекції, яка займається питаннями землекористування в Англії. Через помилкове оприлюднення облікових даних на платформі GitHub сторонні особи могли отримати доступ до систем Microsoft Entra ID.

None of this is the level of sophistication that general media is worried about in terms of cyber attacks. It’s all daft stuff.

— Кріс Несбітт-Сміт, дослідник кібербезпеки.

The option for ransomwaring them, for encrypting all the data, or just stealing all the data, was abundantly there.

— Кріс Несбітт-Сміт, дослідник кібербезпеки.

Представник Планової інспекції заявив, що вразливість була усунена протягом 20 хвилин після виявлення, а моніторингові системи підтвердили відсутність витоку даних. Крім того, Несбітт-Сміт виявив вразливості в сервісах Міністерства освіти, зокрема в системах реєстрації вчителів та державних базах даних професійної підготовки, а також у порталі відкритих даних уряду Шотландії.

Експерти зазначають, що причиною інцидентів є не використання відкритого коду, а недоліки внутрішніх процесів адміністрування. На тлі цих подій уряд обговорює відмову від публікації коду, проте дослідники попереджають, що це може лише приховати існуючі проблеми від фахівців, не усуваючи їх для зловмисників.