Des chercheurs découvrent plus de 10 000 entités publiques vulnérables en Pologne

Deux chercheurs en sécurité polonais ont scanné le web public de leur pays et ont trouvé plus de 10 000 entités vulnérables, y compris des aéroports, des hôpitaux et des tribunaux. Ils ont présenté leurs découvertes à Def Con et ont révélé des failles critiques dans le système Pad CMS, exposant la Pologne à de possibles cyberattaques.

• Ils ont découvert 250 000 sites web présentant des failles de sécurité en Pologne, affectant plus de 10 000 entités publiques.
• Le système de gestion de contenu Pad CMS, sans support, a permis d'accéder sans mot de passe à plus de 300 sites gouvernementaux.
• Les chercheurs ont identifié des vulnérabilités dans 66 % du pouvoir judiciaire polonais, y compris 245 tribunaux.

Deux chercheurs en sécurité polonais, Robert Kruczek et Kamil Szczurowski, ont entrepris une mission patriotique pour évaluer la sécurité du web public de Pologne. Lors de la conférence Def Con à Las Vegas, ils ont révélé que leur scan avait trouvé plus de 10 000 entités publiques vulnérables, avec 250 000 sites web présentant des failles critiques.

Les découvertes incluent des aéroports, des hôpitaux et des bureaux gouvernementaux. Le duo a expliqué que les erreurs étaient facilement exploitables, mais n'étaient pas prises au sérieux par les fournisseurs.

Contexte : une vague d'attaques russes

L'enquête se déroule à un moment où la Pologne fait face à une vague de supposées cyberattaques russes visant ses fournisseurs d'énergie et d'eau. Ces attaques ont précisément profité de la cybersécurité faible qui a maintenant été documentée.

Kruczek et Szczurowski cherchaient à comprendre l'état du web public par patriotisme et le désir de le rendre plus sûr. Leur travail a révélé une situation alarmante pour un pays en pleine escalade des tensions géopolitiques.

Les chercheurs ont trouvé que certaines erreurs étaient incroyablement faciles à exploiter, ce qui augmentait le risque de détournement des services publics. Cette situation met en péril l'infrastructure critique du pays.

Vulnérabilités dans Pad CMS

Le système de gestion de contenu Pad CMS, largement utilisé par les sites web polonais pour organiser et afficher du contenu, était un point critique de vulnérabilités. Le logiciel avait atteint sa "fin de vie" et ne recevait plus de support, laissant sans correctifs importants.

Les chercheurs ont identifié des vulnérabilités critiques dans Pad CMS qui leur ont permis d'accéder à plus de 300 sites web publics sans avoir besoin de mot de passe. Le développeur n'a pas corrigé le logiciel car il avait cessé de le maintenir, laissant les utilisateurs sans protection.

Une autre erreur trouvée leur a permis d'accéder aux sites web d'environ deux tiers du pouvoir judiciaire polonais, soit environ 245 tribunaux. Cet accès non autorisé pourrait permettre à des attaquants de manipuler des informations judiciaires ou d'interrompre des services légaux.

L'exposition de ces systèmes vulnérables représente un risque significatif, surtout dans un contexte de conflits cybernétiques avec la Russie. Les attaquants pourraient exploiter ces failles pour lancer des attaques par ransomware ou voler des données sensibles.

Kruczek et Szczurowski ont rapporté leurs découvertes au gouvernement polonais par le biais de plusieurs canaux officiels. Dans leur discours, ils ont affirmé que l'effort en valait la peine, car nous sommes maintenant "un peu plus en sécurité".

Réaction des autorités et des fournisseurs

L'enquête met en évidence le manque de culture de sécurité dans l'administration publique polonaise. L'absence de programmes de récompenses pour les erreurs et de processus de divulgation responsable décourage les chercheurs de signaler les failles de manière constructive.

Les chercheurs ont souligné que certains fournisseurs minimisaient les rapports d'erreurs comme des "inconvénients", une attitude qui contraste avec la gravité des vulnérabilités. Ce comportement met en danger des millions de citoyens qui dépendent des services publics numériques.

L'exemple de Pad CMS démontre les dangers d'utiliser des logiciels sans support actif. De nombreuses institutions publiques dépendent de systèmes obsolètes qui ne reçoivent pas de mises à jour de sécurité, créant des portes dérobées pour les cybercriminels.

Le gouvernement polonais a intensifié ses efforts en matière de cybersécurité, mais cette étude montre qu'il reste encore beaucoup de travail à faire. La mise en œuvre de politiques de divulgation responsable et la mise à jour des logiciels sont des étapes urgentes.

Implications pour la sécurité nationale

La recherche arrive à un moment de haute tension, avec des cyberattaques attribuées à la Russie contre l'infrastructure critique polonaise. Les vulnérabilités trouvées pourraient être exploitées par des acteurs étatiques pour déstabiliser le pays.

L'accès non autorisé aux tribunaux, aux aéroports et aux hôpitaux pourrait entraîner des interruptions de services allant jusqu'à la manipulation de données judiciaires. Le risque est tangible et ne se limite pas à l'exposition d'informations, mais inclut la possibilité d'attaques destructrices.

Les chercheurs ont démontré qu'avec des outils basiques, il est possible de compromettre des systèmes entiers. Leur analyse systématique du domaine public polonais est un avertissement clair pour d'autres nations qui pourraient avoir des problèmes similaires.

La réponse des autorités sera clé pour restaurer la confiance dans la sécurité numérique. Des mesures telles que la création de programmes de bug bounty et la migration vers des logiciels activement maintenus sont essentielles.

Kruczek et Szczurowski n'ont pas seulement identifié les problèmes, mais ont également proposé des solutions. Leur rapport officiel a salué l'effort, bien qu'ils aient insisté sur la nécessité de changements structurels pour protéger les services publics.

Leçons pour la communauté mondiale

Le cas de la Pologne est un rappel que la sécurité informatique n'est pas un luxe, mais une nécessité à l'ère numérique. Les institutions publiques doivent prioriser la cybersécurité comme partie de leur responsabilité envers les citoyens.

Le manque de maintenance des logiciels et l'absence de mécanismes de rapport sont des problèmes courants dans de nombreux pays. Cette recherche offre un modèle pour évaluer et améliorer la posture de sécurité d'une nation.

La divulgation responsable par les chercheurs est un exemple de la manière dont la communauté de la sécurité peut contribuer au bien-être public. Malgré les risques, leur travail a réduit l'exposition de la Pologne à d'éventuelles attaques.

La recommandation est claire : les gouvernements doivent investir dans la cybersécurité, former leur personnel et encourager la collaboration avec des experts externes. Ce n'est qu'ainsi que les menaces qui se multiplient dans le cyberespace pourront être atténuées.

Le travail de Kruczek et Szczurowski protège non seulement la Pologne, mais sert également d'avertissement pour d'autres pays ayant des infrastructures numériques fragiles. La sécurité est un effort continu qui nécessite une attention constante et des ressources adéquates.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.