Ce urmează după atacul de la ANCPI: prima radiografie a igienei digitale a statului român arată o țară mediocră la siguranță online

Mircea Șerdin

Tyche, în mitologia greacă, este zeița norocului și a sorții. Sub ochiul ei atent, ANCPI a mers bine-mersi timp de 5 ani, deși sistemele lor aveau o vulnerabilitate cunoscută încă din 2021, dar de care nu s-a ocupat nimeni. Când zeița a decis să își retragă protecția, inevitabilul s-a întâmplat. 

Pe 14 iulie, sistemele Agenției Naționale de Cadastru și Publicitate Imobiliară au căzut sub un atac ransomware, iar e-Terra, aplicația fără de care nu se mișcă nicio tranzacție imobiliară din țară, a rămas moartă pentru notari, avocați, cadastriști și cetățeni. Un hacker cu pseudonimul ByteToBreach a anunțat că vinde datele și o copie a serverelor GitLab, cu tot cu codul-sursă. 

Asta este o față a monedei, cea a vulnerabilității prezentului.

Pe 20 iulie, HuggingFace, cel mai mare depozit online de modele AI din lume, a raportat un incident de securitate. Vinovatul, unul dintre modele OpenAI, căruia i s-au scos „setările de siguranță”, pus să rezolve o serie de examene de securitate cibernetică. Modelul avea internetul tăiat. A găsit singur o gaură în programul care instalează pachete, a evadat din mediul izolat, a dedus că soluțiile testului stau pe HuggingFace și a spart baza de date de producție a platformei ca să tragă cu ochiul la răspunsuri. HuggingFace descrie zeci de mii de acțiuni automate, imposibil de coordonat de către un om. OpenAI a declarat că modelele „erau hiperfocusate pe găsirea unei soluții, apelând la soluții extreme pentru un scop de test destul de îngust".

Aceasta este cealaltă față a monedei, cea care reflectă pericolele viitorului.

Pe cant stă România, o țară prinsă și ea între două extreme: avem, potrivit Microsoft România, primul loc în Europa la numărul de angajați IT (raportat la 1.000 de locuitori), și cea mai mică rată de utilizare a serviciilor publice online: doar 24.1% dintre români le folosesc, comparat cu media europeană de 72%.

În acest context, apare o întrebare: cât de sigure sunt site-urilor instituțiilor publice? De la ministere, la spitale și alte instituții centrale sau locale? 

Am petrecut ultimele săptămâni realizând prima evaluare națională a principalilor factori de  securitate a site-urilor instituțiilor publice. Am analizat peste 2.400 de instituții, primării, consilii județene, spitale județene, operatori de apă și energie și instituții centrale. 

Astfel am descoperit că suntem periculos de mediocri la protejarea site-urilor publice, mai mult din neatenție și delăsare. Am asamblat datele în Barometrul Digital, un raport de „igienă digitală” a instituțiilor publice, un prim efort de a cere răspundere publică din partea autorităților pentru a îmbunătăți urgent infrastructura digitală. 

Nivelul de securitate digitală pentru peste 2.400 de instituții din țară. Sursă: barometru digital

Ce e igiena digitală și de ce o măsurăm

Igiena digitală reprezintă practicile de bază de securitate cibernetică pe care orice prezență online ar trebui să le aibă. Printre altele, previne ca atacatorii să nu poată trimite e-mailuri false în numele tău, permite datele cetățenilor să circule în siguranță, se asigură că serviciile interne (baza de date a aplicației, panoul de administrare al site-ului, accesul de la distanță prin care intră angajații IT pe server) nu stau deschise pe internet și că software-ul este ținut la zi.

Barometrul Digital măsoară fundația de securitate a domeniilor instituționale: 13 factori tehnici, precum protecția împotriva e-mailurilor false trimise în numele instituției (standardele SPF, DKIM și DMARC), criptarea datelor pe drumul dintre cetățean și site (certificate SSL valide, ideal cu TLS 1.3), protecțiile pe care site-ul le declară browserului (headerele de securitate), semnarea criptografică a domeniului (DNSSEC), porturile lăsate deschise pe internet sau prezența unui scut WAF/CDN în fața serverului, sunt măsurați, evaluați și ponderați, rezultând într-o notă finală de la 1 la 10.

Una din cinci instituții expune căi de comunicare și acces cu software-ul riscante pe adresa ei publică. Foto: ID 13847673 | Online Safety © Pn_photo | Dreamstime.com

Summitul NATO. Europa are nevoie de un Big Bang intelectual după Ankara

Andrius Kubilius, comisarul european pentru Apărare și Spațiu, are propria versiune a metaforei - și o multiplică. Pentru ca Europa să devină serioasă în privința apărării, spune el, are nevoie de trei explozii simultane: un big bang financiar, unul industrial și unul intelectual.

Toate rezultatele au fost obținute prin măsurători pasive: am analizat doar ce este disponibil unui browser de internet sau client de e-mail, ce a fost deja publicat de diverse platforme online sau pe dark web. Nu am scanat activ nicio instituție și nu le-am căutat vulnerabilitățile.

Am ales această metodologie pentru a nu fi pasibil de vreo interpretare zeloasă a legii (art. 360 din Codul Penal) și pentru a demonstra câte probleme pot fi găsite (dar și reparate) fără a aștepta ca un hacker (uman sau AI) să facă rău.

Atenție: o notă bună nu înseamnă că o instituție e de necucerit. O notă mare (9+) arată că instituția respectivă atinge niște standarde moderne pentru siguranța datelor și a cetățenilor. Nota 10 din acest raport trebuie tratat ca un punct de pornire pentru siguranța online a site-urilor, instituționale sau nu.

Ușile deschise ale instituțiilor

502 instituții țin uși deschise pe internet

Una din cinci instituții expune porturi (căi de comunicare și acces cu software-ul) riscante pe adresa ei publică, iar 117 dintre ele oferă acces la servicii critice: baze de date și acces la distanță, deschise către oricine. Acestea sunt ușile pe care boții le încearcă automat, non-stop, fără să le trebuiască vreo vulnerabilitate sofisticată, doar o parolă slabă sau o actualizare lipsă. Iar dacă baza de date lăsată deschisă e a unui spital, de exemplu, înăuntru pot fi diagnostice, CNP-uri și istoricul medical al unui oraș întreg.  

Povestea celor 26 de spitale românești criptate cu ransomware în februarie 2024 începe fix așa: un punct de intrare, apoi criptare în lanț. 468 dintre instituții stau pe găzduire partajată (pe același server stau multiple site-uri), unde ușa deschisă poate fi a unui vecin de pe același server, iar vecinătatea prost izolată e ea însăși o cale de atac lateral (un atacator poate compromite un site „vecin” mai slab în securitate pentru a acapara apoi întregul server).

Șase din zece site-uri publice au configurarea de securitate la nivel critic 

61,4% dintre site-uri nu declară browserului protecțiile elementare împotriva scripturilor injectate și a clonării. Sună abstract, știu. Concret se poate traduce așa: British Airways, 2018, atacatorii au strecurat în site un program de 22 de linii care a copiat, în liniște, datele de card de la vreo 380.000 de tranzacții.

Foto: Golubovystock | Dreamstime.com

Dacă printre cele 61,4% s-ar afla un spital, ar însemna că formularul prin care îți programezi o consultație sau îți încarci analizele poate fi deturnat fără ca cineva să observe, iar datele introduse de pacienți pot ajunge, în același timp, și la instituție, și la un străin. 

94,4% dintre site-urile publice expun direct serverul pe care se află

Există servicii de securizare a aplicațiilor web care se pun între vizitator și site-ul efectiv pentru a ascunde adresa serverului gazdă, pentru a bloca atacuri informatice, roboții rău intenționați, încercările de a fura date sau cererile suspecte. 

Doar 5,6% dintre instituțiile publice folosesc un astfel de serviciu. Fără el, orice atacator ajunge direct la server, ca o scară de bloc fără interfon.

Identitatea a jumătate din stat poate fi uzurpată prin e-mail 

49,3% dintre instituții nu au deloc DMARC, un standard vechi de peste un deceniu, care împiedică un străin să trimită mesaje care par a veni de pe domeniul oficial. Alte 32,5% îl au doar pasiv, adică pot monitoriza tentativele de imitare a identității fără a le opri. Abia 18,1% o blochează efectiv. 

Pentru o instituție din două, oricine poate trimite un e-mail care arată tehnic ca venind de la adresa ei oficială. Dacă printre domeniile acestea se numără un spital sau o casă de asigurări de sănătate, înseamnă că oricine de pe planetă poate trimite pacienților un mesaj care pare oficial, despre o „reprogramare", un „dosar de decontare" sau „situația contribuției", cu un link care duce exact unde vrea expeditorul. 

158 de instituții rulează pe adrese cu vulnerabilități cunoscute, catalogate public 

Există chiar acum 158 de adrese cu vulnerabilități cunoscute disponibile oricui are acces la internet. În cadrul raportului am ales să le anonimizăm pentru a nu oferi și mai multă vizibilitate, însă ele pot fi găsite foarte ușor.

Sunt exact genul de probleme prin care se pare că a intrat ByteToBreach la ANCPI: o gaură documentată, cu reparație disponibilă de ani buni, dar ignorate de administratorii de sistem.

19 site-uri ale statului au criptarea compromisă 

13 funcționează complet fără HTTPS, deci tot ce trimite cetățeanul, nume, CNP, cereri, circulă necriptat și poate fi citit sau modificat pe drum de oricine e pe aceeași rețea. 

19 site-uri ale statului au criptarea compromisă, reiese din analiza Barometrului Digital. Foto: ID 51222062 | Online Safety © Rawpixelimages | Dreamstime.com

Dacă la capătul acelui formular ar fi un spital și ai trimis diagnostice și coduri numerice personale în clar, ele pot fi citite de oricine, ca o carte poștală. Alte 6 site-uri au certificatul expirat, așa că vizitatorul primește un avertisment de securitate și nu mai poate distinge site-ul real de o clonă. 

Certificatele se pot reînnoi gratuit și automat din 2016 încoace, deci aici problema e curată nepăsare.

Surprizele din date

Între primul județ (Vaslui, 7,5) și ultimul (Bistrița-Năsăud, 6,5) e doar un punct. Nicio regiune nu iese în față, niciuna nu se scufundă. Lipsurile de igienă digitală sunt aceleași de la un capăt la altul al țării, semn că țin de practici comune tuturor administrațiilor, nu de geografie.

A doua surpriză răstoarnă intuiția că banii cumpără siguranță. Comunele (media 7,2) stau peste municipii (6,8), iar cea mai bună notă din România, un 10 curat, l-a luat o primărie din județul Cluj. A bătut ministerele, spitalele mari și toate reședințele de județ. Cel mai probabil, multe primării mici își externalizează site-ul către furnizori specializați, care aplică aceleași bune practici la zeci de clienți deodată, în timp ce instituțiile mari, cu departamente IT proprii, rămân cu configurările lor istorice și cu o suprafață expusă mult mai mare.

A treia: spitalele județene au media 7,1, cot la cot cu primăriile, deși miza lor e incomparabil mai mare. După cele 26 de spitale criptate în februarie 2024, m-aș fi așteptat la un salt vizibil de igienă în sănătate. În date nu se vede.

Ultima surpriză: Directoratul Național de Securitate Cibernetică, DNSC, autoritatea care ar trebui să ne păzească (măcar parțial) pe toți. Nota lui: 8,3. Mai bine, dar nu premiant.

Pe final

Vestea bună este că majoritatea problemelor detectate sunt simple și pot fi rezolvate în sub 24 de ore.

Cele două fețe ale monedei se întâlnesc aici. Vulnerabilitatea prezentului, un om care intră printr-o gaură din 2021, și pericolul viitorului, o mașină care promite să dărâme tot, cad amândouă pe același teren: 2.400+ uși mai mult sau mai puțin întredeschise. Distanța dintre ce poate ataca România și ce știe ea să apere tocmai a început să crească. 

___

Am încercat să contactăm Directoratul Național de Securitate Cibernetică pentru a le prezenta raportul înainte de publicare și a obține un punct de vedere. Nu s-a putut realiza până la publicarea acestui material.

Acest articol a fost scris în cadrul proiectului The Eastern Frontier Initiative (TEFI). TEFI este o colaborare între editori independenți din Europa Centrală și de Est, menită să încurajeze reflecția comună și cooperarea privind problemele de securitate europeană din regiune. Proiectul își propune să promoveze schimbul de cunoștințe în presa europeană și să contribuie la o democrație europeană mai rezilientă.

Membrii consorțiului sunt 444.hu (Ungaria), Gazeta Wyborcza (Polonia), SME (Slovacia), PressOne (România), Delfi (Estonia), Delfi (Latvia), Delfi (Lituania), și Bellingcat (Țările de Jos).

Proiectul TEFI este cofinanțat de Uniunea Europeană. Opiniile și punctele de vedere exprimate aparțin exclusiv autorului (autorilor) și nu reflectă neapărat poziția Uniunii Europene sau a Agenției Executive Europene pentru Educație și Cultură (EACEA). Nici Uniunea Europeană, nici EACEA nu pot fi considerate responsabile pentru acestea.