E-rejestracja na szczepienia umożliwiała dostęp do numerów PESEL. To fatalne zaniedbanie
Zaledwie kilka dni temu informowaliśmy o błędnie zaprojektowanych zabezpieczeniach Narodowego Spisu Powszechnego, a teraz pojawiły się kolejne niepokojące doniesienia. Tym razem problem stanowi nowy system informacji o szczepieniach przeciw COVID-19.
Ministerstwo Zdrowia wprowadziło zmiany w serwisie e-rejestracja w nocy z 11 na 12 kwietnia. Ich celem jest umożliwienie szybszego dostępu do informacji, czy jesteśmy już uprawnieni do zapisania się na szczepienie przeciw COVID-19. Już nie trzeba się logować profilem pacjenta, a wystarczy jedynie podanie numeru PESEL. To wprost jak prezent dla sprawnego cyberprzestępcy.
Scraping numerów PESEL, czyli co umożliwia teraz e-rejestracja na szczepienie
Witryna internetowa e-rejestracja zawiera formularz, w którym wpisujemy numer PESEL. Na jego podstawie otrzymujemy informację zwrotną, czy dana osoba może zapisać się na szczepienie przeciwko COVID-19. Jeżeli wpiszemy poprawny numer, strona wyśle nam odpowiedź w formie: "Szczepienie nie zostało znalezione" lub "możesz się zapisać na szczepienie" lub "jesteś zapisany/a na szczepienie".
Jednak jeżeli wpiszemy niepoprawny numer PESEL, otrzymamy poniższy komunikat:
Co to oznacza? Że strona e-rejestracja umożliwia nam sprawdzenie prawdziwych numerów PESEL Polaków. Nie znajdziemy ich bezpośrednio na tej witrynie, ale możemy wpisywać przypadkowe kombinacje, aż trafimy na odpowiednią. Sprawny cyberprzestępca może napisać własne oprogramowanie, a następnie metodą scrapingu zebrać te dane w dość krótkim czasie. Aby upewnić się, że mam rację, poprosiłem o komentarz eksperta z Marken, dystrybutora programów firmy Bitdefender.
Sam pomysł stworzenia formularza, który pozwala w szybki i łatwy sposób sprawdzić za pomocą numeru PESEL czy w systemie e-rejestracja znajduje się nasze skierowanie na szczepienie przeciw COVID-19, należy pochwalić. Ale jak to zwykle bywa w projektach informatycznych, które powstają pod presją czasu, pojawiają się pewne niedociągnięcia. Nie inaczej jest w tym przypadku. Na stronie można wpisywać dowolną liczbę kombinacji numerów PESEL, co rzeczywiście otwiera przed sprytniejszymi hakerami możliwości do nadużyć. Ponadto strona nie reaguje na numery pobrane lub niepobrane – mówi Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender.
Niemniej te błędy można w prosty sposób wyeliminować. Dobrym standardem jest wprowadzenie zabezpieczeń uniemożliwiających kilkukrotne wprowadzenie nieprawidłowego numeru np. poprzez blokadę po trzech nieudanych próbach wpisania numeru adresu IP na dwanaście godzin lub na całą dobę. Dodatkowo można było zastosować weryfikacje Captcha w celu wyeliminowania działania programów typu BOT – zaznacza Politowicz.
Przestępca może wykraść bazę danych numerów PESEL Polaków, a co dalej?
W tym przypadku osoba dokonująca scrapingu zostanie posiadaczem ogromnej bazy danych numerów PESEL. Ta sytuacja budzi niepokój z co najmniej dwóch powodów. Po pierwsze, jest to ewidentne naruszenie przepisów Ogólnego rozporządzenia o ochronie danych. Po drugie, historia pokazuje, że przestępcy znają metody wykorzystywania numerów PESEL w celu uzyskania korzyści majątkowych.
Biorąc pod uwagę ostatnie wycieki danych, takie jak ten z Facebooka, sprawny przestępca będzie w stanie uzupełnić numer PESEL o pozostałe dane osobowe. Niestety istnieje na to wiele metod, ale ze względów bezpieczeństwa nie będziemy o nich wspominać. Z kolei jak oszust może wykorzystać numer PESEL ofiary?
Posłużymy się przykładem historii pani Aleksandry, opisywanej w 2019 roku na portalu WP Finanse. Numer PESEL kobiety wyciekł do sieci, a sprawny przestępca wykorzystał go do podpisania umowy z Orange na jej dane. Wyłudził dwa drogie telefony oraz internet mobilny. Kobieta zorientowała się dopiero w momencie, gdy na jej koncie bankowym pojawiło się zajęcie komornicze. To nie jest historia jednej osoby - takich przypadków jest niestety bardzo dużo.
Naprawdę niewiele danych wystarczy, aby narobić przypadkowej osobie szkód finansowych. Jednocześnie namierzenie złodzieja będzie prawdopodobnie niemożliwe.
Poinformowaliśmy Ministerstwo Zdrowia o problemie, ale nie otrzymaliśmy nadal żadnej odpowiedzi.
Aktualizacja: po wprowadzeniu poprawki system e-rejestracji odpowiada tak samo na prawdziwe numery PESEL jak i na fałszywe, ale wygenerowane w odpowiedni sposób. Aktualnie rozwiązanie nie stanowi już zagrożenia dla użytkowników. Niemniej przy odrobinie szczęścia PESEL nadal mógłby paść łupem cyberprzestępcy. Problem zostałby rozwiązany w pełni, gdyby zastosowano dodatkowo technikę zabezpieczającą CAPTCHA.