ბრიტანეთის სამთავრობო საიტებზე ხარვეზებმა „ღმერთის დონის“ ინფორმაცია გამოაჩინა

უსაფრთხოების მკვლევარმა გაერთიანებული სამეფოს მთავრობის საჯაროდ ხელმისაწვდომ კოდში 100-ზე მეტი სერიოზული ხარვეზი აღმოაჩინა. ცუდი კიბერუსაფრთხოების პრაქტიკის გამო, ამან მგრძნობიარე მონაცემები საფრთხის ქვეშ დააყენა.

გაერთიანებული სამეფოს მთავრობა დაახლოებით ათი წელია, საჯარო ფულით შექმნილ კოდს ღიად აქვეყნებს, რადგან ეს გამჭვირვალობას უწყობს ხელს და კოდის ხელახლა გამოყენებას ხარჯთეფექტიანს ხდის. ეს ეხება ჯანდაცვისა და სოციალური ზრუნვის დეპარტამენტს, შინაგან საქმეთა სამინისტროსა და ადგილობრივ ხელისუფლებებსაც.

თუმცა დაფინანსების შემცირებამ უწყებებს ტექნოლოგიური სისტემების მოვლა-განახლების უგულებელყოფა აიძულა. ControlPlane-ის უსაფრთხოების მკვლევარმა კრის ნესბიტ-სმიტმა ხარვეზები Claude-ის Opus-ისა და Sonnet-ის ხელოვნური ინტელექტის მოდელებით იპოვა. მისი თქმით, მან ლეპტოპზე მომხმარებლისთვის განკუთვნილი მოდელები გამოიყენა და ბევრი პრობლემის აღმოჩენა IT სისტემების ჩვეულებრივი შემოწმებითაც შეიძლებოდა. ნესბიტ-სმიტმა უაირდს უთხრა: „ეს ყველაფერი იმ დონის დახვეწილობა არ არის, რისიც კიბერშეტევების მხრივ ზოგად მედიას ეშინია. ეს ყველაფერი უბრალოდ სისულელეა“.

მის მიერ აღმოჩენილი ყველაზე სერიოზული ხარვეზის შემთხვევაში, ინგლისში მიწათსარგებლობის საკითხებზე პასუხისმგებელმა დაგეგმარების ინსპექციამ სისტემაში შესვლის მონაცემები სრულად არ წაშალა. უწყებამ ეს მონაცემები შემთხვევით საჯარო GitHub-ის საცავში ატვირთა. ნესბიტ-სმიტის თქმით, მონაცემები განსაკუთრებით სახიფათო გახდა, რადგან მათ ფართო წვდომა იძლეოდა და, როგორც ჩანდა, ვადა არ ეწურებოდა.

ნესბიტ-სმიტის თქმით, Microsoft Entra ID-ის სრული წვდომა „ღმერთის დონის“ შესაძლებლობებს იძლეოდა: შესაძლებელი იქნებოდა SharePoint-ის ყველა საიტზე და თანამშრომელთა პირად OneDrive-ანგარიშებზე მონაცემების წაკითხვა და ჩაწერა, მათ შორის ადამიანური რესურსების ჩანაწერებზე. მკვლევრის თქმით, წვდომა შესაძლებელი იქნებოდა იმ მგრძნობიარე საცავებზეც, სადაც კანონით გათვალისწინებული დაგეგმარების მოკვლევებისა და აპელაციების მტკიცებულებები ინახება. ნესბიტ-სმიტმა თქვა: „მათი გამოსასყიდის მოთხოვნით დაბლოკვის, ყველა მონაცემის დაშიფვრის ან უბრალოდ მოპარვის შესაძლებლობა აშკარად არსებობდა“.

დაგეგმარების ინსპექციის წარმომადგენელმა უაირდს განუცხადა, რომ კიბერმონიტორინგის ინსტრუმენტებმა ნესბიტ-სმიტის აქტივობა აგვისტოში დაუყოვნებლივ აღმოაჩინა. მისი თქმით, უწყება ამ შემთხვევას კიბერინციდენტად უკვე განიხილავდა, როცა ControlPlane დაუკავშირდა. უწყებამ შეტყობინებიდან 20 წუთში ხარვეზი იპოვა და გამოასწორა, შემდეგ კი დაადასტურა, რომ მონაცემთა გაჟონვა არ მომხდარა. წარმომადგენელმა თქვა: „ჩვენ გადავხედეთ და გავაძლიერეთ ჩვენი სისტემები და პროცესები, რათა ამ ტიპის პრობლემა აღარ განმეორდეს. მადლიერები ვართ მკვლევრის მუშაობისა და იმისთვის, რომ მან ეს საკითხი შეგვატყობინა“.