Niebezpiecznik

Przygotujcie się na potrójne przetarcie oczu i zebranie szczęki z podłogi. Pewne nawyki developerskie nigdy się nie zmienią. Proste hasła są szybkie bo są proste. Dziennikarzom nie trzeba mówić całej prawdy, jeśli ich pytania sugerują, że całej prawdy nie znają. A incydentu w postaci nieautoryzowanego dostępu do systemu klienta nie trzeba temu klientowi zgłaszać licząc, że się o tym incydencie nigdy nie dowie, zwłaszcza jeśli i tak wewnętrznie oceniło się ten incydent jako “małe zagrożenie”. Tak, takie rzeczy wciąż się zdarzają i to nawet po RODO. Niestety…

admin/admin123 w roku 2018

Jeden z naszych Czytelników, w końcówce czerwca 2018 roku przyjrzał się bezpieczeństwu strony Karty Krakowskiej (www.kk.krakow.pl). Stoi ona na CMS Edito tworzonym przez rzeszowską firmę IDEO. A zatem każda ciekawska osoba może namierzyć panel administracyjny i sprawdzić czy przypadkiem nie uda się zalogować pod adresem https://www.kk.krakow.pl/admin.

Nasz Czytelnik twierdzi, że wystarczyło wpisać login admin i hasło… admin123 aby zalogować się do serwisu. Pewnie byśmy w to nie uwierzyli, gdybyśmy środka systemu nie zobaczyli. A zobaczyliśmy miejsce, w którym zebrano m.in. imiona, nazwiska i numery PESEL klientów:

Dane kontaktowe też były dostępne:

Do tego wyszukiwarka wniosków o kartę, gdzie mogły się znajdować także informacje o dzieciach.

Nagła zmiana hasła i ciekawa odpowiedź Urzędu Miasta

Administrator serwisu KK zmienił hasło krótko po tym jak dowiedzieliśmy się o sprawie. Nie wiemy czy miało to związek z działaniami naszego Czytelnika, informacją od kogoś innego, czy też może skrupulatną obserwacją logów systemowych przez opiekunów tego serwisu, czyli firmę IDEO — jak wiadomo w logach można przecież, za pomocą zaawansowanych narzędzi do wykrywania włamań i analizy bezpieczeństwa wykryć anomalię i nawet narzędzia, które potrafią przeoczyć hasło admin123 w panelu logowania, mogą zauważyć że ktoś nieautoryzowany buszuje po serwisie.

Postanowiliśmy więc, nie ujawniając że wiemy o haśle admin123, spytać na początku lipca Urząd Miasta, czy być może odnotował on w ostatnim czasie jakieś incydenty związane ze stroną kk.krakow.pl. Przedstawicielka urzędu — Małgorzata Tabaszewska — poinformowała nas o dwóch odnotowanych zgłoszeniach dotyczących bezpieczeństwa danych osobowych:

1. Jedna z osób składająca wniosek o Kartę Krakowską nie otrzymała linku aktywacyjnego do zakładanego konta na stronie www.kk.krakow.pl Uznała, że strona może wyłudzać dane. Po otrzymaniu tej informacji MPK S.A. wysłało niezwłocznie link aktywacyjny.

2. Jedna z osób otrzymała maila o zatwierdzeniu wniosku o Kartę Krakowską, którego nie składała. Okazało się, że podczas szkolenia z obsługi przyjmowania wniosków Karty Krakowskiej jej przyjaciel użył jej adresu mailowego dla danych testowych, nie informując jej o tym. Po wyjaśnieniu sytuacji zgłoszenie zostało wycofane.

Jak widać, żaden z przypadków o którym wspomniał nam Urząd nie dotyczy incydentu, o którym zostaliśmy poinformowani przez naszego Czytelnika. Jest kilka możliwości takiego obrotu sprawy:

• nie powiedziano nam o tym incydencie jako dziennikarzom, bo nasze pytanie nie wskazywało, że coś o tej sprawie wiemy (zatajono tę informację w złej wierze)
• opiekuni systemu z firmy IDEO nie poinformowali Urzędu Miasta o incydencie i sami po cichu go naprawili
• incydent został zgłoszony do UM, ale w ogóle nie potraktowano tego jako coś co miało wpływ na bezpieczeństwo danych.

Postanowiliśmy wiec doprecyzować nasze pytania. W drugim e-mailu przyznaliśmy, że jesteśmy świadomi z jakiego hasła dostępowego korzystało konto administratora systemu KK. Zadaliśmy Urzędowi Miasta dodatkowe pytania. I co?
Dowiedzieliśmy się, że zdarzenie które wskazaliśmy “było jeszcze w fazie analizy” kiedy pisaliśmy do Urzędu za pierwszym razem.

Ale to nie koniec wyjaśnień Urzędu (wytłuszczenia nasze):

Stwierdzono, że w dniach 29 czerwca 16:28 – 2 lipca 7:34 nastąpiły udane logowania  uproszczonym hasłem do systemu Karty Krakowskiej. Dostawca systemu, firma IDEO sp. z o.o. przeprowadziła natychmiast po zgłoszeniu wewnętrzny audyt, na podstawie którego stwierdziła, że było to niskie naruszenie bezpieczeństwa i uznała, że nie ma potrzeby informowania MPK S.A. w Krakowie / użytkowników o tym epizodzie. Warto jednak zaznaczyć, że do 1 lipca 2018 r. 00:00, w systemie znajdowały się wyłącznie dane testowe.

Zastosowanie uproszczonego hasła adminstratorskiego do systemu, w połączeniu z informacją od dostawcy o logowaniach, których konsekwencją nie był wyciek danych z systemu Karta Krakowska, pozwoliła określić ważność zdarzenia na poziomie 1 (małe zagrożenie dla bezpieczeństwa informacji).

Napisalibyśmy, że nie mamy powodów, aby nie wierzyć Urzędowi Miasta, ale poprzednia “niekompletna” odpowiedź trochę jednak nasze zaufanie nadwyrężyła…

Sami co prawda danych nie pobraliśmy, przez co nie jesteśmy w stanie zweryfikować czy faktycznie były one testowe. Serwis KK wedle prasy faktycznie oficjalnie ruszył od 1 lipca, a jak wspomina urząd, incydent miał miejsce 2 lipca, a więc ponad dobę od produkcyjnego otworzenia serwisu. Spójrzcie też na daty założenia kont z pierwszego zrzutu ekranu, który umieściliśmy w tym artykule, a na którym znajduje się panel admina. Dodajcie do tego poniższą informację jaką przekazało nam nasze źródło:

[O] ile dobrze pamiętam to grubo ponad 1000 [rekodów było w tej bazie]. Miały pełne dane pesele, zdjęcia ludzi, konkretne, krakowskie adresy itd.

…i wyciągnijcie wnioski sami. Ale nawet jeśli przyjąć, że z systemu wyciekły tylko dane testowe, jak twierdzi UM, to pracownikom firmy IDEO i tak należy pogratulować odwagi. I to podwójnie! Po pierwsze za dobór tak “uproszczonego” hasła administratora (ciekawe czy coś jeszcze i w jakim zakresie jest w tym systemie “upraszczane”?). Po drugie za podjęcie dość odważnej decyzji, że nie ma co raportować klientowi “nieautoryzowanego” dostępu do systemu testowego. Ciekawe, czy ten incydent, został zgłoszony do UODO? Jeśli w systemie znajdowały się dane prawdziwych Krakowian i było ich ponad tysiąc, to nawet wierząc w dobre intencje osoby, która uzyskała nieautoryzowany dostęp do tego systemu, sprawa powinna naszym zdaniem zostać zgłoszona do UODO.

Wiemy, że firma IDEO ma także innych klientów — na Edito CSM stoi m.in. serwis prezydent.pl, z którym swoją drogą też związana jest ciekawa historia i może kiedyś opiszemy ją na łamach Niebezpiecznika. Wiemy też, że nie tylko firma IDEO tworzy i opiekuje się serwisami na czyjeś zlecenie. Takich firm jest wiele. Dlatego mamy kilka porad, jak powinny — pod kątem bezpieczeństwa — wyglądać relacje klientów z takimi podwykonawcami.

Outsourcujesz opiekę nad serwisem firmie trzeciej?

Wszystkim firmom, które outsourcują tworzenie serwisu internetowego lub “nadzór” nad nim zewnętrznym podmiotom radzimy zawrzeć w umowach takie zapisy, które wymuszą na dostawcach informowanie o każdym naruszeniu bezpieczeństwa, a także regularne raporty o próbach dokonania takich naruszeń. Naszym zdaniem to klient końcowy powinien decydować — jeśli nie sam, to wspólnie z podwykonawcą — które z incydentów faktycznie stanowią “małe” zagrożenie i można je spokojnie zignorować, a którymi może jednak warto byłoby się zająć.

To ważne, nie tylko dlatego, że bez pełnej wiedzy w tym zakresie dział PR takiej firmy może świecić oczami przed dziennikarzami, bo nie ma wszystkich informacji. Pełna wiedza w zakresie historycznych incydentów, a także samych prób ataków (nieudanych) jest kluczowa, aby poprawnie zbudować swoje mechanizmy bezpieczeństwa i móc lepiej reagować na kolejne incydenty (wiązać fakty, TTP i wyciągać wnioski).

Dowiedz się, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami. Wpadnij na nasz kultowy ~3 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i przede wszystkim prostych do zastosowania porad, które skutecznie podniosą Twoje bezpieczeństwo i pomogą ochronić przed atakami Twoich najbliższych. Uczestnicy tego wykładu oceniają go na: 9,34/10!

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze, prywatnie albo służbowo. Wykład prowadzimy prostym językiem, wiec zrozumie go każdy, także osoby spoza branży IT. Dlatego na wykład możesz spokojnie przyjść ze swoimi rodzicami lub mniej technicznymih znajomych. W najbliższych tygodniach będziemy w poniższych miastach:

• WARSZAWA, 9 maja 2024 -- kliknij tu aby się zapisać!
• KRAKÓW, 18 kwietnia 2024 -- kliknij tu aby się zapisać!
• WROCŁAW, 20 czerwca 2024 -- kliknij tu aby się zapisać!
• ŁÓDŹ, 21 czerwca 2024 -- kliknij tu aby się zapisać!
• KATOWICE, 28 czerwca 2024 -- kliknij tu aby się zapisać!

Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu.

Déjà vu

Jeśli macie wrażenie, ze podobna sytuacja już się kiedyś wydarzyła, to nie wzięło się ono znikąd. W roku 2017 okazało się, że wnioski o Poznańską Kartę Aglomeracyjną znajdowały się w tzw. głębokim ukryciu. Tam również były adresy, PESELe i zdjęcia.

Uczucie déjà vu możecie mieć także z innego powodu. Serwis Kolei Mazowieckich umożliwia każdemu chętnemu założenie konta i złożenie wniosku online. Jeden z naszych czytelników zalogował się do niego kiedyś na dane admin/admin i jakież było jego zdziwienie, gdy nagle mógł zajrzeć do danych z prawie 4 tysięcy kart. Jak widać, dodanie 123 do hasła admin wcale nie wyklucza takich ataków…

Aktualizacja 13.03.2019, 13:15
Urząd Miasta po publikacja naszego artykułu wystosował oświadczenie, że “dane mieszkańców w systemie Karty Krakowskiej” są bezpieczne. Też mamy nadzieje, że teraz już są… Choć panel logowania do serwisu wciąż jest dostępny publicznie.

Informujemy, że wszystkie dane, które mieszkańcy udostępniają, składając wniosek o Kartę Krakowską, są odpowiednio zabezpieczone i nie ma żadnego zagrożenia ich wycieku. Dostawcą wszystkich systemów bezpieczeństwa jest firma IDEO sp. z o.o., która jednoznacznie potwierdziła odpowiedni, wysoki poziom ochrony wszystkich danych mieszkańców.

Jedyne zgłoszenie związane z możliwym wyciekiem danych z systemu Karty Krakowskiej Urząd Miasta Krakowa otrzymał 29 czerwca 2018 r. (zgłoszenie dotyczyło zastosowania uproszczonego hasła administratorskiego do serwisu kk.krakow.pl). 2 lipca 2018 roku to zgłoszenie zostało przekazane do MPK SA w Krakowie, które natychmiast skierowało je do dostawcy systemu, firmy IDEO sp. z o.o., zobowiązując ją do podjęcia natychmiastowych działań w celu wyjaśnienia zaistniałej sytuacji.
W wyniku analizy stwierdzono, że hasło nie spełniało wymogów bezpieczeństwa i natychmiast, tj. 2 lipca, zostało zmienione. Stwierdzono także, że w dniach 29 czerwca (godz. 16.28) – 2 lipca (godz. 7.34) nastąpiły udane logowania uproszczonym hasłem do systemu Karty Krakowskiej (do 1 lipca do godz. 00.00, w systemie znajdowały się wyłącznie dane testowe). Dostawca systemu, firma IDEO sp. z o.o. przeprowadziła natychmiast po zgłoszeniu wewnętrzny audyt, na podstawie którego stwierdziła, że było to niskie naruszenie bezpieczeństwa i uznała, że nie ma potrzeby informowania MPK SA w Krakowie i użytkowników o tym epizodzie. Zastosowanie uproszczonego hasła administratorskiego do systemu, w połączeniu z informacją od jego dostawcy o możliwych logowaniach do systemu Karta Krakowska, pozwoliła określić wtedy to zdarzenie jako małe zagrożenie dla bezpieczeństwa informacji.
Jednak w związku z opublikowaniem w dniu 12 marca 2019 r. na portalu niebezpiecznik.pl informacji o możliwym wycieku danych z systemu Karty Krakowskiej w dniach 1 i 2 lipca 2018 r., analizowane są kroki prawne w związku z potencjalnym zagrożeniem kradzieży danych.

Cieszymy się, że UMK zdecydowało się ponownie przyjrzeć się sprawie. To dobra reakcja. Spóźniona o ponad pół roku, ale dobra.

Bardzo jesteśmy ciekawi, dlaczego choć zgłoszenie dotarło do UMK 29 czerwca, to dopiero 2 lipca zostało przekazane do MPK. Ciekawi też jesteśmy, czy teraz nastąpi zgłoszenie do UODO (na które zgodnie z ustawą są 72 godziny) i jaka duża była liczba prawdziwych Krakowian zarejestrowanych w systemie do dnia 2 lipca, czyli dnia w którym zmieniono hasło na inne. Interesuje nas również, czy UMK zdecyduje się ich poinformować, że ktoś mógł mieć dostęp do ich danych? I ile tych ktosiów było, którzy z hasła “admin123” skorzystali? Panel administracyjny był dostępny publicznie (i wciaż jest…), a hasło admin123 niektórzy wręcz wpisują odruchowo…

UMK pisze też, że “nie ma żadnego zagrożenia”. Odważne to stwierdzenie, oby ktoś nie powiedział “sprawdzam!”…

Wpadki zdarzają się każdemu. Musimy się jako dostawcy usług w internecie nauczyć na nie poprawnie reagować. To reakcja pokazuje dojrzałość. I to po reakcji klienci (obywatele) oceniają dostawcę usług.

Aktualizacja 13.03.2019, 15:56
Oświadczenie w tej sprawie przesłał nam też Łukasz Szymański, kierownik marketingu w firmie Ideo:

[Z]aistniały na przełomie czerwca i lipca 2018 roku nieautoryzowany dostęp do systemu Karty Krakowskiej, był wynikiem braku włączenia w systemie wszystkich opcji zabezpieczających. Mamy świadomość, że sytuacja taka nie powinna mieć miejsca, dlatego z całą odpowiedzialnością przepraszamy.
Niezwłocznie po otrzymaniu informacji na temat zaistniałej sytuacji podjęliśmy działania, które uniemożliwiły dostęp do systemu dla osób niepożądanych. Przeprowadzony przez nas audyt bezpieczeństwa wykazał, że dane osobowe nie zostały fizycznie pobrane z baz. Następstwem zgłoszenia było natychmiastowe zablokowanie dostępu do systemu dla osób niepożądanych. Podnieśliśmy poziomy zabezpieczeń między innymi przez wdrożenie dodatkowych reguł ustawiania haseł. Pozostajemy w stałym kontakcie z Klientem i wspólnie dążymy do całkowitego wyjaśnienia sprawy, również w kontekście ewentualnego dysponowania przez osobę nieupoważnioną jakimikolwiek danymi osobowymi.
Ochrona danych naszych Klientów jest dla nas priorytetem. Na bieżąco realizujemy wymogi wynikające ze zmian prawa, ale i indywidualnych ustaleń z Klientami zarówno pod względem prawnym, jak i bezpieczeństwa.
Zdajemy sobie sprawę z powagi tej sytuacji, dlatego niezwłocznie po uzyskaniu informacji uruchomione zostały dodatkowe procedury wewnętrzne. Pracownicy przechodzą dodatkowe szkolenia w zakresie zabezpieczenia danych naszych klientów. Aktualizujemy procedury i wprowadzamy bardziej restrykcyjne stosowanie się do nich. W realizowanych przez nas systemach ponownie sprawdziliśmy mechanizmy odpowiadające za bezpieczeństwo kont użytkowników oraz danych przechowywanych w systemach. Rozbudowaliśmy mechanizmy, które wymuszają stosowanie skomplikowanych haseł i okresową ich zmianę. Na życzenie Klienta ograniczamy możliwości logowania do systemów jedynie ze wskazanych adresów IP, by uniemożliwić zewnętrzny dostęp do danego systemu. Włączamy także uwierzytelnianie dwustopniowe 2FA.

Aktualizacja 15.03.019, 22:02
Urząd Miasta Krakowa zaczął prężnie działać i dążyć do wyjaśnienia incydentu. UMK wczoraj zapowiedział, że zgłosi incydent do UODO oraz do prokuratury. Miasto rozważało też podjęcie kroków prawnych wobec dostawcy systemu Karty Krakowskiej (co rozumiemy jako firmę Ideo). Na stronach Urzędu 14 marca pojawił się taki komunikat:

W związku z publikacją 12 marca 2019 r. artykułu, który wskazywał na możliwość kradzieży danych osobowych użytkowników Karty Krakowskiej w dniach 1 i 2 lipca 2018 r., Urząd Miasta Krakowa jeszcze w tym tygodniu zgłosi do Urzędu Ochrony Danych Osobowych naruszenie bezpieczeństwa danych osobowych części mieszkańców Krakowa. Taką decyzję podjęto 14 marca podczas spotkania przedstawicieli Urzędu Miasta Krakowa oraz MPK SA w Krakowie. Liczba osób narażonych na możliwość kradzieży danych jest w trakcie weryfikacji i obejmuje tylko dwa dni – 1 i 2 lipca 2018 r. 2 lipca 2018 r. hasło zostało zmienione, a samo konto zablokowane. Zostało wprowadzone ograniczone logowanie do panelu administracyjnego do wybranych adresacji IP. Po tej dacie nie odnotowano nieautoryzowanego dostępu.
Firma Ideo sp. z o.o. zapewniła, że będzie wspierać Urząd Miasta Krakowa i MPK SA zarówno w zebraniu wszystkich niezbędnych informacji w celu poinformowania UODO o tym incydencie, jak i osób fizycznych, w stosunku do których potwierdzi się wystąpienie ujawnienia danych.
Jednocześnie, zgodnie z informacją przekazaną przez firmę Ideo sp. z o.o., ustalono prawdopodobny adres IP, z którego mogło dojść do nieautoryzowanego dostępu. Ustalono również, że nie było to logowanie przypadkowe, a próba podjęta kilka razy, wskazująca na działanie umyślne. W związku z tym Urząd Miasta Krakowa, jako administrator danych osobowych mieszkańców, podjął decyzję o wniesieniu do prokuratury zgłoszenia w sprawie nieautoryzowanego dostępu do danych osobowych użytkowników Karty Krakowskiej.
Analizowana jest również kwestia podjęcia kroków prawnych wobec dostawcy systemu Karty Krakowskiej.

Natomiast dziś UMK wydał następujący komunikat:

Dzisiaj, 15 marca 2019 roku, Urząd Miasta Krakowa zgłosił do Urzędu Ochrony Danych Osobowych naruszenie bezpieczeństwa danych osobowych mieszkańców, którzy złożyli wnioski o wydanie Karty Krakowskiej w dniach 1 i 2 lipca 2018 roku. Jest to efekt pozyskanej przez nas 12 marca 2019 roku wiedzy, wskazującej na możliwość nieuprawnionego dostępu do danych osobowych użytkowników Karty Krakowskiej.
Z otrzymanych informacji wynika, że w dniach 1 i 2 lipca 2018 roku, nieuprawniona osoba przeglądała 77 wniosków o wydanie Karty Krakowskiej, w tym jeden dwukrotnie – co obejmuje dane osobowe 91 osób. Do czasu ostatniego nieautoryzowanego logowania w dniu 2 lipca 2018 roku, wszystkich wniosków o wydanie Karty Krakowskiej, złożonych drogą elektroniczną było 5663 (dotyczy to danych osobowych 6532 osób).
Urząd Miasta Krakowa – jako administrator danych osobowych mieszkańców – w możliwie najkrótszym czasie poinformuje każdą z tych osób o nieuprawnionym dostępie do danych osobowych.
Jak poinformował dostawca systemu informatycznego – firma IDEO sp. z o.o. – na przełomie czerwca i lipca 2018 roku nieautoryzowany dostęp do systemu Karty Krakowskiej był wynikiem braku włączenia wszystkich opcji zabezpieczających. Taka sytuacja nie powinna mieć miejsca, dlatego przepraszamy wszystkich mieszkańców, których dane osobowe zostały narażone na nieuprawniony dostęp. Jednocześnie zapewniamy, że dostawca systemu Karty Krakowskiej – IDEO sp. z o.o., niezwłocznie po otrzymaniu informacji na temat zaistniałej sytuacji podjęła działania, które uniemożliwiły dostęp do systemu osobom niepożądanym.

Wygląda na to, że przeanalizowano logi i ustalono iż nieautoryzowany dostęp dotyczył zaledwie 91 osób, spośród 6532 jakie były w systemie do momentu zmiany hasła z admin123 na inne. UMK zapowiedział też, że osoby, których dane były “przeglądane” otrzymają od UMK informacje w tej sprawie. Brawo!

Zastanawia nas tylko, dlaczego w komunikacje pada informacja o “wiedzy pozyskanej 12 marca 2019”, skoro z wcześniejszych komunikatów wynikało, że UMK i MPK (oraz firma Ideo) miały wiedzę o tym incydencie już w lipcu 2018. Tak czy inaczej, cieszymy się, że sprawa została od strony technicznej wyjaśniona. Cieszy nas również, że w końcu (bo dopiero wczoraj) z publicznego internetu zniknął dostęp do panelu logowania spod podstrony /admin. Jak ten rzekomo “ograniczony do wybranych adresacji IP” od lipca 2018 panel wyglądał do wczoraj, prezentujemy poniżej:

Dane Polaków wyciekają niemalże codziennie. I to nie jest najgorsza rzecz, jaka może Ci się przydarzyć w internecie. Gdybyś chciał poznać kilkadziesiąt praktycznych porad odnośnie tego jak pozostać bezpiecznym w internecie m.in podczas korzystania z bankowości internetowej czy robienia zakupów on-line, to wpadnij na nasz wykład “Jak nie dać się zhackować?“. Przez ponad 3 godziny przystępnym językiem pokazujemy jak za darmo możesz ochronić Twoje pieniądze, dane i tożsamość przed cyberprzestępcami. Wykład przeplatamy widowiskowymi demonstracjami ataków na żywo; wykradamy dane z sieci Wi-Fi, łamiemy hasła, podglądamy przez kamerkę, inwigilujemy i włamujemy się na telefony komórkowe. Niebawem będziemy w tych miastach (alfabetycznie):

• KRAKÓW, 3 kwietnia 2019
• BIAŁYSTOK, 9 kwietnia 2019
• GDAŃSK, 9 maja 2019
• KATOWICE, 10 lipca 2019
• LUBLIN, 29 maja 2019
• ŁÓDŹ, 26 czerwca 2019
• POZNAŃ, 16 maja 2019
• RZESZÓW, 27 maja 2019
• SZCZECIN, 13 maja 2019
• TORUŃ, 14 maja 2019
• WROCŁAW, 26 marca 2019

Wejściówki szybko znikają, więc już teraz zarezerwuj miejsce dla siebie.