Masz polski paszport? Twoje poufne dane były widoczne dla innych

Serwis Niebezpiecznik.pl informuje, że w rządowym serwisie moje.gov.pl wykryto poważną lukę bezpieczeństwa lub błąd w oprogramowaniu, który pozwalał dowolnej osobie mieć wgląd do naszych danych w paszporcie. To przerażająca informacja, ale eksperci od spraw bezpieczeństwa spodziewali się, że kiedyś to nastąpi.

Poprzez moje.gov.pl można złożyć wniosek paszportowy oraz dowiedzieć się, w jakim terminie wyrabiany dokument będzie dostępny do odbioru. I nie byłoby w tym nic dziwnego, bo to bardzo praktyczna usługa, która pozwala szybko wyrobić ważny dokument do podróży zagranicznych, gdyby nie fakt, że to samo narzędzie mogło zostać wykorzystane do podejrzenia newralgicznych danych innych osób.

Co najbardziej bulwersuje, dostęp do poufnych danych innych ludzi można było uzyskać po zalogowaniu się Profilem Zaufanym. Ale to nie wszystko. Dane pojawiały się po małej modyfikacji identyfikatora. Wystarczyła tylko zmiana cyfr, by wywołać dane zupełnie obcych osób.

Jakie nasze dane mogły podejrzeć nieznane nam osoby? Niestety, najważniejsze, ponieważ na wniosku podaje się: imiona i nazwisko, numer PESEL, miejsce i data urodzenia, wzór podpisu, zdjęcie, adres do korespondencji, numer i seria paszportu oraz termin ważności paszportu. Mówimy tutaj zatem o najważniejszych danych, na które można np. wziąć na kogoś kredyt.

Według serwisu Niebezpiecznik.pl, po dwóch godzinach od zgłoszenia aplikacja moje.gov.pl została zablokowana, a luka usunięta. Obecnie Centralny Ośrodek Informatyki analizuje dane, by uzyskać więcej informacji o tym błędzie.

— Trwa naprawianie błędu, dlatego usługa "Moje dane w Rejestrze Danych Paszportowych" została natychmiast wyłączona i jest obecnie niedostępna — napisał kilka godzin temu Centralny Ośrodek Informatyki w odpowiedzi serwisowi Niebezpiecznik.pl. Co ważne, jak sam przyznał COI, incydent zostanie zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych. Obecnie "awaria" została już naprawiona. Dane Polaków wydają się być znów bezpieczne.

Być może uda się zidentyfikować osoby, które pokusiły się o zmianę identyfikatora i podejrzały poufne dane wielu Polaków. Dane logowania powinny być rejestrowane w systemie. Zatem służby będą mogły skontrolować, czy ktoś na masową skalę pozyskał dane i będzie chciał z nich zrobić użytek.