Vulnerabilități în sistemele de jurizare din Statele Unite
Mai multe site-uri publice destinate gestionării informațiilor personale ale potențialilor jurați din Statele Unite și Canada au fost expuse unei vulnerabilități de securitate care a permis accesul ușor la date sensibile, inclusiv nume și adrese de acasă. Această problemă de securitate a fost descoperită de un cercetător în securitate, care a contactat TechCrunch pentru a oferi detalii despre vulnerabilitate.
Detalii despre vulnerabilitate
Cercetătorul a identificat cel puțin o duzină de site-uri pentru gestionarea juraților, create de compania Tyler Technologies, care par a fi vulnerabile. Aceste site-uri sunt răspândite în mai multe state, inclusiv California, Illinois, Michigan, Nevada, Ohio, Pennsylvania, Texas și Virginia.
Tyler Technologies a confirmat că lucrează la remedierea acestei probleme după ce a fost alertată de TechCrunch. Vulnerabilitatea permitea oricui să obțină informații despre jurați, întrucât jurații primeau un identificator numeric unic, care putea fi ghicit prin atacuri de tip brute force, deoarece numărul era incremental. De asemenea, platforma nu avea un mecanism de limitare a încercărilor de conectare, ceea ce permitea atacatorilor să încerce un număr mare de combinații.
Informații expuse
Într-un portal de gestionare a juraților dintr-un județ din Texas, TechCrunch a observat expunerea unor date personale complete, inclusiv nume, date de naștere, ocupație, adrese de email, numere de telefon mobil și adrese de acasă și corespondență. De asemenea, informațiile includeau răspunsurile la chestionarele pe care potențialii jurați sunt obligați să le completeze pentru a verifica dacă sunt calificați pentru a servi.
Întrebările din chestionar includeau genul, etnia, nivelul de educație, angajatorul, starea civilă, numărul de copii, cetățenia, vârsta, precum și informații despre condamnări sau acuzații penale.
Implicarea problemelor de sănătate
În unele cazuri, vulnerabilitatea ar fi putut expune date personale de sănătate în profilul unui jurat. De exemplu, un jurat care a solicitat scutirea de la serviciu din motive de sănătate ar fi putut dezvălui motive medicale care îl calificau pentru excludere. TechCrunch a observat și un exemplu în acest sens.
Răspunsul companiei Tyler Technologies
TechCrunch a alertat Tyler Technologies cu privire la problemă pe 5 noiembrie, iar compania a recunoscut vulnerabilitatea pe 25 noiembrie. Un purtător de cuvânt al companiei a declarat că echipa de securitate a confirmat existența unei vulnerabilități care permitea accesul neautorizat la unele informații ale juraților.
Compania a dezvoltat o soluție pentru a preveni accesul neautorizat și a comunicat pașii următori clienților. Totuși, purtătorul de cuvânt nu a răspuns întrebărilor suplimentare, inclusiv dacă Tyler are capacitatea tehnică de a determina dacă a existat acces malițios la informațiile personale ale juraților sau dacă intenționează să notifice persoanele ale căror date au fost expuse.
Antecedente de expunere a datelor
Aceasta nu este prima dată când Tyler Technologies a lăsat date personale sensibile expuse pe internet. În 2023, un cercetător a descoperit o altă vulnerabilitate care a permis expunerea unor date confidențiale, cum ar fi listele de martori și evaluările de sănătate mintală, în sistemele de înregistrare a instanțelor online din SUA.
În acel caz, Tyler a remediat vulnerabilitățile din produsul său Case Management System Plus, utilizat în statul Georgia. De asemenea, alți doi furnizori de tehnologie guvernamentală au fost implicați, expunând date în acel caz.
Concluzie
Vulnerabilitatea recentă a pus în evidență lipsurile semnificative în protecția datelor personale ale juraților, având potențialul de a afecta grav confidențialitatea și securitatea acestora. Această situație subliniază necesitatea stringentă de a îmbunătăți măsurile de securitate în sistemele guvernamentale care gestionează informații sensibile.
