باحث أمان يكتشف مئات الثغرات الحرجة في أكواد حكومة بريطانيا العلنية باستخدام نماذج ذكاء اصطناعي

استخدم كريس نيسبيت سميث، الباحث في شركة ControlPlane المتخصصة في الأمان، نماذج الذكاء الاصطناعي كلود أوبوس وسونيه لفحص الأكواد الحكومية العلنية. وأشار إلى أنه استخدم فقط نماذج ذكاء اصطناعي استهلاكية تعمل على جهاز كمبيوتر محمول، وأن العديد من الثغرات كان يمكن اكتشافها من خلال فحوصات أمان تقنية معيارية. وقال إن جميع المشاكل المكتشفة تتعلق بأخطاء بسيطة وليست هجمات سيبرانية معقدة كما تقلق وسائل الإعلام الرئيسية.

كانت أخطر ثغرة مكتشفة تتعلق بجهاز الفحص والتفتيش للتخطيط، وهي جهة حكومية مسؤولة عن معالجة شؤون استخدام الأراضي والتخطيط العمراني في إنجلترا. أدى خطأ تشغيلي إلى نشر موظفو الجهة بيانات اعتماد تسجيل الدخول على منصة مشاركة الأكواد جيتهاب. لم تقم الجهة بإلغاء هذه البيانات بشكل كامل، مما سمح باستمرار استخدامها. وكانت هذه البيانات تتمتع بصلاحيات واسعة جدا ولم تكن لها فترة انتهاء صلاحية محددة.

أوضح نيسبيت سميث أن بيانات اعتماد مايكروسوفت إنترا آيدي تمتلك صلاحيات قراءة وكتابة من أعلى المستويات في النظام بأكمله تقريبا، وتستطيع الوصول إلى جميع مواقع شيرپوينت وحسابات ون درايف الخاصة للموظفين بما فيها سجلات الموارد البشرية. كما يمكن للمهاجمين الوصول إلى مستودعات ملفات حساسة تحتوي على أدلة التحقيقات والاستئنافات المتعلقة بالتخطيط العمراني، وهي محمية بمتطلبات قانونية للحفظ. وأشار إلى أن المهاجمين كانوا قادرين على نشر برامج ضارة أو تشفير جميع البيانات أو سرقتها بالكامل.

أفادت جهاز الفحص والتفتيش للتخطيط أن أدوات المراقبة الأمنية لديها اكتشفت نشاط نيسبيت سميث فورا في أغسطس. وقالت إنها أصلحت الثغرة في غضون عشرين دقيقة من استقبال التقرير وتحققت من عدم حدوث تسرب بيانات. وأضافت أنها استعرضت وعززت الأنظمة والعمليات ذات الصلة.

شملت عملية الفحص 349 مستودع أكواد عام تابع لثلاث وثلاثين جهة. وأشار نيسبيت سميث إلى أن حوالي ثلثي هذه المستودعات تحتوي على ثغرات أمنية. واكتشف مشاكل في عدة مشاريع تابعة لوزارة التعليم البريطانية منها خدمات الشراء للمدارس وخدمة تقديم طلبات المعلمين والنظام الرئيسي لتسجيل مؤسسات التدريب والتدريب المهني الممولة من حكومة إنجلترا. وتحتوي خدمة تقديم طلبات المعلمين على معلومات شخصية حساسة تشمل المؤهلات والخبرة العملية والمستندات الثبوتية. كما اكتشف ثغرات في بوابة بيانات مفتوحة تابعة لحكومة اسكتلندا تسمح لأي زائر بقراءة معلومات حسابات المسؤولين وتعديل إعدادات الموقع.