باحث أمان يكتشف مئات الثغرات الحرجة في أكواد حكومة بريطانيا العلنية باستخدام نماذج ذكاء اصطناعي

شملت عملية الفحص 349 مستودع أكواد عام تابع لـ 33 جهة حكومية، وكان حوالي ثلثا هذه المستودعات يحتوي على ثغرات أمنية. اكتشف الباحث مشاكل في عدة مشاريع تابعة لوزارة التعليم البريطانية، بما في ذلك خدمات الشراء للمدارس وخدمة طلبات المعلمين والنظام الرئيسي لتسجيل مؤسسات التدريب والتدريب المهني الممولة من حكومة إنجلترا.

أخطر الثغرات المكتشفة تتعلق بجهاز مفتشية التخطيط البريطاني، الذي يتولى معالجة شؤون استخدام الأراضي في إنجلترا. أدى خطأ تشغيلي إلى نشر بيانات اعتماد تسجيل الدخول على منصة مشاركة الأكواد جيت هاب. لم تقم الجهة بإلغاء هذه البيانات بشكل كامل، مما سمح باستمرار استخدامها. تتمتع بيانات الاعتماد هذه بصلاحيات واسعة جدا وتبدو خالية من تاريخ انتهاء الصلاحية. يمكن لهذه البيانات الوصول إلى جميع مواقع شير بوينت وحسابات ون درايف الخاصة للموظفين، بما في ذلك سجلات الموارد البشرية. كما يمكن للمهاجمين الوصول إلى مستودعات حساسة تحتوي على أدلة التحقيقات القانونية والاستئنافات المتعلقة بالتخطيط.

أفاد نيسبيت-سميث بأن المهاجمين يمكنهم استخدام هذه الصلاحيات لنشر برامج فدية أو تشفير جميع البيانات أو سرقتها مباشرة. أعلنت جهاز مفتشية التخطيط أن أدوات المراقبة الأمنية اكتشفت نشاط نيسبيت-سميث في أغسطس، وأنها عالجت الثغرة في غضون 20 دقيقة من تلقي التقرير، مؤكدة عدم حدوث تسرب بيانات.

أثار اكتشاف هذه الثغرات نقاشا حول ما إذا كان يجب على القطاع العام البريطاني الاستمرار في نشر الأكواد المصدرية علنا. أشار نيسبيت-سميث إلى أن إغلاق المستودعات دون إصلاح الثغرات الموجودة قد يكون أسوأ، لأن المهاجمين المحتملين ربما نسخوا هذه الأكواد بالفعل ويمكنهم الاستمرار في البحث عن الثغرات.