Fakty i opinie
  • Kino
  • Mapa
  • Ogłoszenia
  • Forum
  • Komunikacja
  • Raport
Wiadomości
Dodaj raport
Fakty i Opinie Wiadomości
Facebook E-mail Messenger WhatsApp Kopiuj link Więcej

Błąd na stronie ZTM pozwalał na dostęp do danych 100 tys. pasażerów

Krzysztof Koprowski
25 stycznia 2019 (artykuł sprzed 5 lat) 
Opinie (174)
Urzędnicy zapewniają, że błąd w systemie, który umożliwiał na nieautoryzowany dostęp do danych pasażerów, został usunięty w ciągu 90 minut od zgłoszenia i jeszcze przed jego upublicznieniem. Urzędnicy zapewniają, że błąd w systemie, który umożliwiał na nieautoryzowany dostęp do danych pasażerów, został usunięty w ciągu 90 minut od zgłoszenia i jeszcze przed jego upublicznieniem.

Urzędnicy zapewniają, że błąd w systemie, który umożliwiał na nieautoryzowany dostęp do danych pasażerów, został usunięty w ciągu 90 minut od zgłoszenia i jeszcze przed jego upublicznieniem.

fot. Łukasz Unterschuetz/Trojmiasto.pl

Dane ponad 100 tys. pasażerów komunikacji miejskiej w Gdańsku mogły zostać ujawnione. Przez nieodpowiednie zabezpieczenia w skrypcie do sprawdzania stanu karty miejskiej, można było pozyskać m.in. imiona, nazwiska, adresy zamieszkania, e-mail oraz numery PESEL. Zdaniem firmy informatycznej obsługującej ZTM, do wycieku danych jednak nie doszło.



W jaki sposób zamówiłeś(aś) kartę miejską?

O sprawie potencjalnego wycieku danych napisał portal technologiczny Zaufana Trzecia Strona, którego czytelnik odkrył prostą lukę w systemie sprawdzania możliwości odbioru karty miejskiej Zarządu Transportu Miejskiego w Gdańsku.

Zobacz również: Ważność karty miejskiej - sprawdź


Chodzi o tzw. atak SQL Injection, polegający na odpowiedniej modyfikacji zapytania, w efekcie czego możliwy był dostęp do 101 tys. 143 wniosków o wydanie karty miejskiej, złożonych przez Internet od 2009 r.

Poprzez odpowiednio spreparowane zapytanie na podstronie ZTM możliwe było uzyskanie następujących danych wnioskodawcy:
  • imienia i nazwiska
  • numeru PESEL
  • adresu e-mail podanego przy rejestracji
  • adresu zamieszkania podanego we wniosku

Niemożliwe było natomiast pobranie zdjęcia dołączonego do wniosku.

Urzędnicy: do wycieku danych nie doszło



Sprawę potwierdzają pracownicy Zarządu Transportu Miejskiego, którzy jednak przekonują, że nie można mówić o wycieku danych.

- Według informacji uzyskanych od firmy hostingującej [odpowiedzialnej za fizyczne utrzymanie strony na serwerze - dop. red.] nie doszło do wycieku danych. Baza zawiera wyłącznie dane z wniosków o wydanie karty miejskiej złożone przez Internet - mówi Zygmunt Gołąb, rzecznik ZTM w Gdańsku. - Oddzielnie przechowywane są wnioski składane drogą papierową, które stanowią ok. 75 proc. wszystkich wniosków składanych do wydania karty miejskiej. Te dane są na serwerze, który nie jest połączony z siecią internetową.
Podstrona ZTM, na której brakowało odpowiednich zabezpieczeń przed prostym atakiem SQL Injection. Podstrona ZTM, na której brakowało odpowiednich zabezpieczeń przed prostym atakiem SQL Injection.

Podstrona ZTM, na której brakowało odpowiednich zabezpieczeń przed prostym atakiem SQL Injection.

ztm.gda.pl

Czy jednak w bazie danych, połączonej na stałe z Internetem, powinny być przechowywane tak szczegółowe dane osobowe? Dlaczego na serwerze nie trzymano jedynie numerów kart miejskich wraz z informacją o jej odbiorze lub trwającym procesie produkcji?

- Weryfikacja gotowości karty do odbioru jest jednym z elementów całego procesu złożenia wniosku o wydanie karty miejskiej przez Internet. Jako usługa świadczona online wymaga, aby baza była dostępna dla serwera www świadczącego usługę. W żadnym przypadku serwer z bazą danych nie jest dostępny bezpośrednio przez Internet. Dane zawarte w bazie danych nie są danymi wrażliwymi, tylko danymi osobowymi. Firma hostingująca naszą stronę jest w trakcie analizy zaistniałej sytuacji i celem podniesienia bezpieczeństwa danych już dokonała ich separacji pod wymagania poszczególnych funkcjonalności. Nie są wykluczone dalsze działania mające na celu zwiększenie bezpieczeństwa danych - wyjaśnia rzecznik ZTM Gdańsk.

Obsługa informatyczna firm



Luka załatana, system doładowania kart działa niezależnie



Urzędnicy obecnie analizują czy i w jaki sposób będą informowali właścicieli danych osobowych o - jak sami to nazywają - zaistniałym incydencie.

Luka w systemie została "załatana" w ciągu 90 minut od zgłoszenia ją przez portal Zaufana Trzecia Strona i jeszcze przed publikacją artykułu. Autorzy strony oceniają jednak nowo wprowadzone rozwiązanie jako "dalekie od idealnego".

Warto podkreślić, że w sposób niezależny od strony ZTM funkcjonuje strona, na której możliwe jest dokonanie zakupu biletu przez Internet. Dane osobowe pasażerów są w tym przypadku magazynowane na zupełnie innym serwerze, a dostęp do nich odbywa się w oparciu o inne rozwiązania programistyczne.

Czytaj również artykuły z 2013 r.:


Aktualne rozkłady jazdy ZKM Gdynia, ZTM Gdańsk oraz pociągów SKM i dalekobieżnych sprawdzisz na stronie komunikacja.trojmiasto.pl oraz w naszej aplikacji na telefon.

Miejsca

Zobacz także

więcej artykułów (9)

Opinie (174) ponad 10 zablokowanych

  • 2019-01-26 14:19

    może ktoś to wytłumaczy

    W naszym kraju podobno obowiązuje ochrona danych osobowych. Czytałem gdzieś że pielęgniarkom nie wolno z tego powodu wyczytywać nazwisk pacjentów oczekujących do lekarza. Jednocześnie aby kupić pół tony węgla należy w punkcie sprzedaży podać swoje imię, nazwisko, adres, pesel i numer dowodu osobistego. czy dane te będą właściwie przechowywane przez punkt handlujący opałem? Handlarz raczej nie ma zatrudnionych informatyków od zabezpieczeń, ma to wprowadzone do komputera i tyle. A jak ktoś ukradnie i wykorzysta te dane, to kto poniesie odpowiedzialność?

    amar

    5 lat

    • 5 0

  • 2019-01-26 13:56

    T2wpTVN3 miasto yo jeden s6f

    Lkj

    5 lat

    • 3 0

  • 2019-01-25 22:06

    (1)

    a Wy to jeszcze publikujecie..brawo.

    5 lat

    • 6 3

    • 2019-01-26 13:48

      Prawda boli?

      5 lat

      • 1 0

  • 2019-01-25 21:49

    Zabojstwo Adamowicza, awaria ogrzewania, luki w systemi bezpieczenstwa (1)

    Przypadek ? Nie sadze.

    Janusz z Szadółek

    5 lat

    • 8 10

    • 2019-01-26 13:47

      Cos w tym jest

      Coepły

      5 lat

      • 1 0

  • 2019-01-25 20:38

    (3)

    Lol, sql injection w 2019 :D to bylo możliwe w 2009 r. ale nie teraz.

    10 years challenge

    5 lat

    • 13 5

    • 2019-01-25 23:37

      w 2005 na praktykach sie o tym uczylem (1)

      programista_15k

      5 lat

      • 5 2

      • 2019-01-26 13:23

        jak ja sie o tym uczylem to byles w piaskownicy

        ale niestety to miasto promuje bylejakosc.

        5 lat

        • 0 2

    • 2019-01-25 21:54

      No właśnie. Toteż się pytam, co za kertyn hostuje tą stronę? Wszak owasp top10 implementowany jest już nawet w chińskich pudełkach do użytku domowego...

      Czerwona Małpa

      5 lat

      • 3 1

  • 2019-01-26 05:31

    a w jakim celu te dane osobowe są zbierane (2)

    żeby kupić bilet na tramwaj ?

    chore...

    5 lat

    • 12 0

    • 2019-01-26 07:36

      (1)

      mogą służyć do odsprzedaży taj jak to się dzieje powszechnie

      5 lat

      • 6 2

      • 2019-01-26 13:10

        ale to nie jest cel ich zbierania

        5 lat

        • 0 3

  • 2019-01-26 13:00

    wina tuska

    5 lat

    • 3 0

  • 2019-01-26 07:28

    Juz z moim prawnikiem przygotowujemy pozew. (2)

    Bedzie grube odszkodowanie. To skandal zeby moje dane byly tak slabo zabezpieczone.

    Janusz z Szadółek

    5 lat

    • 11 1

    • 2019-01-26 12:56

      jo, jo, jo....ty januszu jedyne co przygotujesz, to kanapkę z pasztetową

      5 lat

      • 3 0

    • 2019-01-26 08:54

      Dobry pomysl. Niech placa za balaganiarstwo

      5 lat

      • 3 0

  • 2019-01-26 12:46

    Może wreszcie t e r a z ta łysa pała bez pojęcia odpowie za kolejne nieudacznictwo?!

    Dawno powinien odpowiedzieć za niesprawny tabor (żadnego nadzoru nad pracą warsztatu!), nagminne spóźnienia bądź w ogóle nie zjawianie się autobusów lub tramwajów na przystankach...Spolegliwi 'dyspozytorzy' z a w s z e usprawiedliwią "awarią"!!!

    pasażerka

    5 lat

    • 1 2

  • 2019-01-26 12:01

    I oni chca ludziom nowe dowody sprzedawac

    kpina..

    5 lat

    • 3 1

2
3
4
5
6

alert Portal trojmiasto.pl nie ponosi odpowiedzialności za treść opinii.

Najnowsze

więcej wiadomości (9)

Najczęściej komentowane

Kleksem asfaltu w pękniętą gumę przy Zieleniaku

Kleksem asfaltu w gumę przy Zieleniaku

PSŻ Poznań - Energa Wybrzeże Gdańsk. Ile kosztuje wzmocnienie pozycji juniorskich?

Czy Wybrzeże ma kasę dla juniorów?

więcej

Najczęściej czytane