Deux chercheurs découvrent 250 000 sites publics polonais avec des failles de sécurité

Illustration des services de santé en Pologne. Les chercheurs ont identifié des failles de sécurité sur environ 250 000 sites appartenant à plus de 10 000 entités publiques, y compris des hôpitaux, des aéroports et des tribunaux. Photo d’illustration: Pexels.

JAKARTA - Deux chercheurs en cybersécurité polonais ont identifié des failles dans environ 250 000 sites appartenant à plus de 10 000 entités publiques. Les conclusions incluent des sites d’aéroport, d’hôpitaux, de bureaux gouvernementaux, jusqu’aux tribunaux.

TechCrunch a rapporté samedi 8 août, que Robert Kruczek et Kamil Szczurowski ont exposé les résultats de la recherche lors de la conférence de cyberécuérence Def Con à Las Vegas, vendredi.

Les deux ont d'abord voulu savoir à quel point les services web publics polonais étaient vulnérables aux cyberattaques.

Les résultats ont montré que le logiciel problématique de nombreux fournisseurs, le manque de canaux de notification de failles et l'absence de programmes de bug bounty ont contribué à l'augmentation du risque.

Les bug bounties sont des programmes qui récompensent les chercheurs qui découvrent et signalent des failles de sécurité.

Selon Kruczek et Szczurowski, un certain nombre de failles sont même très faciles à exploiter. Cependant, leur rapport n'est pas toujours pris au sérieux. Certains fournisseurs sont censés considérer les rapports sur les failles comme des perturbations.

Ces conclusions surviennent alors que la Pologne renforce sa défense cybernétique après une vague de pressions russes sur les fournisseurs d'énergie et d'eau.

TechCrunch a noté que certaines des attaques précédentes avaient été commises en exploitant les failles de la cybersécurité.

L'une des failles critiques a été trouvée dans Pad CMS, un système de gestion de site largement utilisé.

La vulnérabilité du logiciel a permis aux deux chercheurs d'accéder à plus de 300 sites Web publics sans mot de passe.

Les développeurs de Pad CMS n'ont pas corrigé la faille car leur logiciel a atteint la fin de vie et n'est plus pris en charge.

Une autre fente a permis à Kruczek et Szczurowski d'accéder au site de deux tiers des institutions judiciaires polonaises, soit environ 245 tribunaux.

Les deux ont ensuite signalé les conclusions au gouvernement par divers canaux officiels.

Les chercheurs ont dit que les efforts ont finalement été payants. Selon eux, les conclusions et les rapports ont rendu la sécurité « un peu plus sûre ».