Rodné čísla Čechov unikali cez nový web. Ministerstvo reagovalo celkom inak než slovenské
V Česku riešia v súvislosti s obchodným registrom podobný prípad, aký nastal nedávno aj na Slovensku. Aj u susedov chystajú novú verziu portálu s informáciami o predstaviteľoch podnikov a povinne zverejňovanými dokumentami. Pri pilotnej verejnej prevádzke s ostrými údajmi sa však objavili dve chyby, ktoré umožňovali prístup k dátam, ktoré nemali byť dostupné.
Prvá chyba sprostredkovala pri vyhľadávaní osôb v obchodnom registri rodné čísla a špeciálny identifikátor fyzických osôb (AIFO). Slúži pre účely jednoznačnej identifikácie konkrétneho človeka v agende a pri výmene údajov. Počítačový expert Josef Gattermayer na sociálnej sieti priblížil, že citlivé informácie neboli viditeľné na prvý pohľad.
„Stačilo otvoriť vývojársku konzolu alebo upraviť parametre požiadavky (dotazu) a sťahovať ich hromadne,“ napísal.
Druhý problém umožnil dostať sa k dokumentom, ktoré takisto mali zostať neverejné. Neboli nutné ani zložitejšie kroky. Systém prideľoval podľa poradia každej listine číselný identifikátor. Potom jednoduchá zmena čísla umožnila dostať sa k celkom inému dokumentu bez ohľadu na prístupové oprávnenia. Ak mal teda človek šťastie, natrafil aj na súbor, ktorý sa nemal dať stiahnuť kýmkoľvek.
Gattermayer súčasne upozorňuje, že popísaný druh chýb dokáže potenciálny útočník nájsť za pomoci nástrojov umelej inteligencie počas minút.
„Dvojdňový penetračný test raz za rok nestačí. Papier z ISO 27001, DORA alebo kyberzákona tiež nie. Obe tieto chyby nájde AI sken celého systému s frontier modelom pri prvej zmene kódu. Presne na to sú kybermodely z programu OpenAI Daybreak,“ komentuje Gattermayer.
České ministerstvo spravodlivosti reagovalo po upozornení na chyby celkom inak ako slovenské. Prijalo „technické opatrenia k zamedzeniu ďalších neštandardných prístupov do systému“. Incident navyše nahlásilo tamojšiemu Národnému úradu pre kybernetickú bezpečnosť a Úrad pre ochranu osobných údajov. Rezort ešte vyšetruje, ako dlho sa chyby v systéme nachádzali, ich príčinu, rozsah dotknutých osôb a či aj reálne došlo k stiahnutiu citlivých údajov tretími stranami.
Pripomeňme, že pri Slovensku sa ukázalo, že z verejnej zbierky listín sa dajú stiahnuť podnikateľské dokumenty s rodným číslom, úplnou adresou trvalého pobytu, číslom občianskeho preukazu či overeným vlastnoručným podpisom každého konateľa a spoločníka slovenskej firmy. Minister spravodlivosti Boris Susko pre médiá následne povedal, že v dostupnosti údajov podnikateľov problém nevidí. Z jeho pohľadu je vraj v poriadku, že sa ľudia môžu k mnohým údajom dostať.
Úrad na ochranu osobných údajov ale uviedol, že osobné údaje v zverejňovaných dokumentoch mali byť anonymizované. Okrem toho bezpečnostná firma Nethemba neskôr vyčíslila náklady na stiahnutie celej databázy údajov na úrovni maximálne pár tisíc eur. Keď sme sa následne, ešte na začiatku septembra, pýtali slovenského ministerstva, či plánuje zaviesť zmeny v sprístupňovaní údajov a listín, na otázky nereagovalo.
