Porażający błąd w rządowych zabezpieczeniach. Można było… przeglądać dane paszportowe Polaków

Dane paszportowe Polaków dostępne w sieci. Dziura w rządowym portalu

Sprawa dostępu do polskich danych paszportowych dotyczy bezpośrednio rządowego serwisu moj.gov.pl, umożliwiającego załatwianie urzędowych formalności. Jak donosi portal „Niebezpiecznik”, w portalu znajdowała się dziura, która pozwalała na… podglądanie danych pochodzących z rejestru dokumentów paszportowych. O sprawie portal został poinformowany przez jednego z czytelników, który wychwycił błąd patrząc na… adres URL:

https://moj.gov.pl/nforms/engine/ng/index?xFormsAppName=MojeDaneWRDP#/application-details/1000000000123

Jak się okazało, wystarczyło zmienić cyfry identyfikatora, aby na ekranie wyświetliły się dane pochodzące z paszportu innej osoby. Specjaliści informują, że użytkownicy mogli mieć dostęp do najwrażliwszych danych umieszczonych na paszportach. O które dane chodzi?

• PESEL,
• zdjęcie,
• numer i seria paszportu,
• wzór podpisu,
• imiona,
• nazwisko,
• miejsce urodzenia,
• data urodzenia,
• płeć,
• adres do korespondencji.

Dodatkowo, niektórzy mogli posiadać też informacje dotyczące dzieci wpisanych do paszportu rodzica. Co ciekawe, luka nie dotyczyła tylko i wyłącznie danych paszportowych. Jak się okazuje, zainteresowani mogli przeglądać informacje dotyczące zakazu opuszczania kraju przez wybrane osoby.

Eksperci z portalu „Niebezpiecznik” oceniają, że informatyzacja państwa to kwestia kluczowa, natomiast rząd powinien wdrożyć dodatkowe mechanizmy związane z bezpieczeństwem, szczególnie, że mamy do czynienia z danymi paszportowymi. Dodatkowo, opisywany błąd jest jest określany jako „podstawowy, a wręcz prymitywny”. Portal skontaktował się z Centralnym Ośrodkiem Informatyki, który odpowiedział na pytania dotyczące dostępu do danych paszportowych.

W odpowiedzi na pytania przesłane do Ministerstwa Cyfryzacji informujemy, że zlokalizowaliśmy błąd, w wyniku którego zalogowany przez Profil Zaufany użytkownik, mógł uzyskać dostęp do wniosków złożonych przez inne osoby. Trwa naprawianie błędu, dlatego usługa „Moje dane w Rejestrze Danych Paszportowych” została natychmiast wyłączona i jest obecnie niedostępna. Sytuacja jest szczegółowo analizowana, incydent zostanie zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych - czytamy w odpowiedzi.

Igrzyska Europejskie 2023. Wielka akcja policji w Krakowie! Na służbie tysiące funkcjonariuszy