Pesquisadores mapearam a web pública da Polônia e acharam tribunais e hospitais vulneráveis

Dois pesquisadores poloneses de segurança, Robert Kruczek e Kamil Szczurowski, decidiram medir o quão vulnerável era a internet pública do próprio país. O resultado, apresentado na conferência Def Con em Las Vegas, foi apresentado na última sexta-feira: mais de 10 mil entidades públicas afetadas, somando cerca de 250 mil sites com falhas de segurança, incluindo aeroportos, hospitais e repartições governamentais. Os dados foram reportados pelo TechCrunch.

Segundo os pesquisadores, a motivação foi patriótica: entender o estado da web pública polonesa e torná-la mais segura para todos.

As falhas encontradas

Um dos achados mais graves foi um conjunto de vulnerabilidades críticas no sistema de gerenciamento de conteúdo (CMS) Pad CMS, amplamente usado no país. A falha permitiu que a dupla acessasse mais de 300 sites públicos sem precisar de senha. O desenvolvedor do software não corrigiu o problema porque o produto havia chegado ao fim de vida (end of life) e não recebia mais suporte.

Outro bug deu acesso aos sites de cerca de dois terços do Judiciário polonês, o equivalente a aproximadamente 245 tribunais, de acordo com os pesquisadores.

O relato aponta ainda um problema estrutural: além do software vulnerável de fornecedores, a Polônia carecia de programas de bug bounty e de canais claros para reportar falhas. Alguns bugs eram, segundo os pesquisadores, extremamente fáceis de explorar, mas nem sempre eram levados a sério. Certos fornecedores teriam tratado os relatórios de segurança como meros "incômodos".

A pesquisa acontece num momento em que a Polônia tenta reforçar suas defesas cibernéticas após uma onda de ataques suspeitos de origem russa contra fornecedores de energia e água do país, alguns deles bem-sucedidos justamente por aproveitarem cibersegurança frágil, conforme o TechCrunch.

A dupla reportou os achados ao governo por diversos canais oficiais. Durante a apresentação, eles avaliaram que o esforço valeu a pena, afirmando que, como resultado, o país está "um pouco mais seguro".

O que isso tem a ver com o Brasil

O padrão descrito na Polônia é familiar para quem acompanha ou constrói software para o setor público brasileiro. Alguns pontos merecem atenção de quem desenvolve para órgãos públicos:

• Software em fim de vida ainda em produção. O caso do Pad CMS ilustra um risco recorrente: sistemas sem suporte continuam no ar em portais oficiais. No Brasil, contratos públicos longos e trocas de fornecedor frequentemente deixam CMSs e frameworks antigos rodando sem patches.
• Falta de canal para reportar falhas. A ausência de bug bounty e de vias formais de divulgação responsável (responsible disclosure) foi central na Polônia. No Brasil, o Gov.br mantém uma Política de Divulgação de Vulnerabilidades, mas a cobertura entre órgãos estaduais e municipais é irregular.
• Bugs simples subestimados. Falhas exploráveis sem autenticação, como as encontradas nos tribunais poloneses, costumam ser de baixa complexidade e alto impacto. Vale conferir a lista do OWASP Top 10 ao auditar portais públicos.

Para equipes que atendem prefeituras, tribunais, hospitais e autarquias, o episódio reforça a importância de inventariar dependências, monitorar o fim de vida de bibliotecas e CMSs, e estabelecer um canal claro de recebimento de reports de segurança. Ferramentas de scanning contínuo e a adoção de práticas de disclosure estruturado reduzem a chance de que uma falha trivial vire uma porta aberta em serviços essenciais.

O trabalho de Kruczek e Szczurowski mostra que, em muitos casos, o problema não é a sofisticação do atacante, e sim a soma de software abandonado com a ausência de processos para receber e tratar avisos de vulnerabilidade.

Fonte: TechCrunch