Grupos divulgam dados confidenciais do Ministério da Agricultura

min_agricultura

O ataque ao site drapn.min-agricultura.pt foi, segundo informação no Pastebin, utilizando uma falha SQL Injection presente no site [fichas_detalhes.php?id=]. Segundo a mesma fonte, os responsáveis por este ataque são Hackers Street, sidekingdom12 e outsiderz arcainex.
Este tipo de vulnerabilidade é explorada na maioria das vezes com ferramentas automáticas [sqlmap, sqlninja, entre outras] e são uma das falhas mais exploradas por este tipo de grupos.

Uma falta de validação em determinados parametros de entrada do utilizador, permitem injetar código SQL e assim manipular a base de dados. Esta manipulação permitiu aos grupos adquirir acesso à base de dados do website e assim divulgar mais de 1000 dados de acesso [Nome/Email/Password].
De referir que, embora as passwords estejam na maioria cifradas em MD5, algumas encontram-se já descodificadas.

É altamente recomendado que os utilizadores presentes na lista, troquem as suas passwords, principalmente se utilizarem as mesmas noutros sites [email, Facebook, etc].

Fica por saber se o Ministério da Agricultura foi alertado para esta situação e se a falha já se encontra devidamente corrigida.
Espero que sim.

Achaste interessante? Partilha!
    Analista de segurança web com vários anos de experiência. Fundador do projeto WebSegura.net. Reconhecido publicamente, por divulgação de vulnerabilidades, por empresas como a Google, Adobe, eBay, Microsoft, Yahoo, Panda Security, AVG, Kaspersky, McAfee, Hootsuite e outros. Colabora regularmente com a comunicação social em temas relacionados com a segurança de informação.

    Que tal participar com o seu comentário?