Исследователь в сфере кибербезопасности выявил более 100 серьёзных уязвимостей в общедоступном программном коде британских государственных учреждений. Ошибки могли создать угрозу для конфиденциальных данных из-за недостаточного контроля за информационными системами. Об этом сообщает WIRED.
На протяжении примерно десяти лет британские ведомства открыто размещали код, созданный за счёт государственных средств. Такой подход объясняли прозрачностью и возможностью повторно использовать готовые решения с меньшими затратами. Код публиковали, в частности, Министерство здравоохранения и социальной защиты, МВД, а также местные органы власти.
Исследователь компании ControlPlane Крис Несбитт-Смит проводил проверку с помощью моделей искусственного интеллекта Claude Opus и Sonnet на обычном ноутбуке. По его словам, многие проблемы можно было обнаружить в ходе стандартной проверки состояния IT-систем. Он подчеркнул, что выявленные недостатки не требовали сложных методов атаки.
Наиболее опасный случай был связан с британской Инспекцией по вопросам планирования, которая занимается землепользованием в Англии. Учётные данные для входа после случайной публикации в общедоступном репозитории GitHub не были полностью удалены и, по всей видимости, не имели срока действия. Они могли предоставить широкий доступ к системе Microsoft Entra ID, включая файлы SharePoint, личные аккаунты сотрудников OneDrive, кадровые документы и материалы по юридическим разбирательствам.
Представитель Инспекции сообщил WIRED, что средства мониторинга сразу заметили действия исследователя в августе, а сама организация уже рассматривала ситуацию как киберинцидент. Уязвимость устранили в течение 20 минут после обращения ControlPlane и подтвердили отсутствие утечки данных. Ведомство заявило, что пересмотрело и усилило внутренние системы и процедуры.
Несбитт-Смит проверил 349 государственных программных баз в 33 организациях и обнаружил уязвимости примерно в двух третях из них. Проблемы нашли в сервисах британского Министерства образования, связанных с закупками для школ, заявками учителей и реестром поставщиков образовательных программ и ученичества, а также в портале открытых данных правительства Шотландии; организации сообщили об устранении недостатков. На фоне роста возможностей искусственного интеллекта обсуждается отказ госструктур от открытой публикации исходного кода, однако исследователь считает закрытие репозиториев без исправления ошибок худшим сценарием, поскольку ранее скопированные данные могут остаться у потенциальных злоумышленников.