Nghiên cứu bảo mật: Hàng ngàn cơ quan công quyền tại Ba Lan đối mặt với nguy cơ bị tấn công mạng

Tại hội nghị an ninh mạng Def Con diễn ra ở Las Vegas, hai nhà nghiên cứu Robert Kruczek và Kamil Szczurowski đã công bố kết quả rà soát hạ tầng internet công cộng tại Ba Lan. Với mục tiêu nâng cao tính an toàn cho không gian mạng quốc gia, nhóm nghiên cứu đã phát hiện hơn 10.000 thực thể công cộng với khoảng 250.000 website đang tồn tại các lỗ hổng bảo mật đáng báo động.

Theo báo cáo, các đơn vị trọng yếu như sân bay, bệnh viện và văn phòng chính phủ đều nằm trong danh sách bị ảnh hưởng. Nguyên nhân chính được chỉ ra là do phần mềm từ các nhà cung cấp chứa lỗi, kết hợp với việc thiếu hụt các chương trình bug bounty (săn lỗi nhận thưởng) và quy trình tiếp nhận phản hồi bảo mật chưa hiệu quả. Đáng chú ý, một số nhà cung cấp phần mềm thậm chí còn xem nhẹ các báo cáo lỗ hổng, coi đó là những phiền toái thay vì là mối đe dọa thực sự.

Một trong những phát hiện đáng chú ý nhất liên quan đến hệ thống quản trị nội dung (CMS) phổ biến có tên Pad CMS. Các nhà nghiên cứu đã tìm thấy các lỗ hổng nghiêm trọng cho phép truy cập trái phép vào hơn 300 website công cộng mà không cần mật khẩu. Vấn đề trở nên trầm trọng hơn khi nhà phát triển từ chối tung ra bản patch do phần mềm đã đạt trạng thái “end of life” (ngừng hỗ trợ). Ngoài ra, một lỗi khác đã giúp nhóm nghiên cứu có khả năng truy cập vào hệ thống của khoảng 245 tòa án, chiếm tới 2/3 hệ thống tư pháp tại Ba Lan.

Nghiên cứu này được công bố trong bối cảnh Ba Lan đang nỗ lực củng cố hàng rào phòng thủ mạng trước làn sóng các cuộc tấn công nghi vấn từ phía Nga nhắm vào hạ tầng năng lượng và nước sạch. Kruczek và Szczurowski cho biết họ đã báo cáo các phát hiện này cho chính phủ thông qua các kênh chính thức, đồng thời nhấn mạnh rằng những nỗ lực này là cần thiết để giúp hệ thống mạng quốc gia trở nên an toàn hơn.

Nguồn tham khảo: TechCrunch