TOLO.RO
TOLO.RO
De Iulia Roșu, Daniel Ionașcu, Dan Duca, Cătălin Tolontan
luni, 21 august 2023, 3:20
De Iulia Roșu, Daniel Ionașcu, Dan Duca, Cătălin Tolontan
11 comentarii Distribuie Rezolvarea scurgerii de informații a avut loc după ce Libertatea a discutat, pentru reacții, cu oficialii AUR. Ziarul a aflat duminică, a verificat existența breșei cu mai mulți experți și a ales să publice nu înainte, ci după remedierea breșei, ca să nu expună datele a mii de oameni. AUR susține că a rezolvat problema duminică noaptea, conform declarațiilor făcute luni dimineața pentru ziar.
Persoane terțe au putut accesa datele personale pentru mai bine de 17.000 de români care și-au dat informații private în aplicația AUR, conform informațiilor primite de Libertatea de la un expert IT și confirmate cu mai mulți specialiști.
Au putut fi văzute codul numeric personal (CNP), adresa, numărul de telefon, contul de utilizator în aplicația AUR și parola. Nu există până acum informații despre copierea în bloc a datelor.
„Există o scurgere masivă de date personale în aplicația AUR. Se pot vedea CNP-urile, contul de utilizator, parola, adresa. Inclusiv Simion are asta. Toți cei care au aplicația și au dat date personale, toate sunt vizibile. Basically, nu au criptat datele. Ele nu ar trebui să fie vizibile”, a declarat, pentru Libertatea, Richard Toth, un programator care a descoperit scurgerea de date și a semnalat-o către redacție.
Toth și-a făcut cont pe aplicație și a spus că în clasament contul său este cel cu numărul 17.359. Aplicația AUR are versiune atât pentru Android, cât și pentru iOS.
Ziarul a verificat informația la rândul său și a descoperit că datele puteau fi văzute la o simplă comandă „inspect element” pe pagina aplicației AUR.
Datele din baza de date sunt afișate fără criptare în sursa paginii web, astfel încât aproape oricine poate să le vizualizeze într-un mod liber, a explicat un expert consultat de ziar.
În cazul lui George Simion, liderul AUR, apăreau date precum adresa, CNP-ul, seria și numărul buletinului, faptul că este căsătorit și religia. La categoria „authority” (autoritate – n.r.) apare drept „căpitan”. Ce înseamnă acest lucru?
Aplicația AUR premiază utilizatorii în funcție de aducerea de membri noi și în funcție de alte criterii. „Nivelul de implicare al fiecărui utilizator al aplicației este evidențiat prin punctele și rangurile dobândite”, scrie în explicația către utilizatori. În funcție de meritele lor Utilizatorii sunt:
În mod normal, datele personale precum numele, adresa, CNP-ul, sunt protejate de către GDPR – regulamentul european privind protecția datelor. Acesta obligă companiile și organizațiile să protejeze datele „by design”, adică din modul în care acestea își proiectează softurile.
Duminică după-amiază, după ce a confirmat breșa, Libertatea a sunat la George Simion, care nu a putut fi inițial contactat, „sunt în țară, în zone fără semnal”, a spus el. Schimbul a continuat pe mesaje telefonice.
Redacția a discutat cu George Orbean, directorul de comunicare al AUR. Ziariștii i-au explicat oficialului AUR că „așteptăm remedierea breșei sau oprirea aplicației și apoi vom scrie. Nu publicăm până atunci pentru că nu vrem să lezăm miile de oameni care au datele puse în aplicație. Ne așteptăm, totuși, să faceți rapid ceva, pentru că altfel pot fi lezați cei care, eventual, se înscriu acum și care n-ar fi informați că există o breșă”, i s-a explicat directorului de comunicare al partidului.
La scurt timp, George Simion a revenit și a spus redacției că „am anunțat colegii să anunțe firma” și că va reveni să informeze, prin ziar, opinia publică.
Specialiștii contactați de ziar au constatat că duminică spre luni noaptea, în jurul orei 2, problema de securitate a aplicației a fost rezolvată, lucru care a fost confirmat oficial de partid luni dimineața, pentru Libertatea. „Am rezolvat, dar blocăm aplicația 24 de ore ca să fim siguri cât timp rulăm teste”, a spus AUR pentru redacție.
Sesizat de ziar, Andrei Marinescu, expert IT, securitate națională și analiza datelor, a spus că platforma AUR prezintă o eroare de proiectare.
„Aceste informații pot fi extrase cu mare ușurință, folosind echipamente de extragere date din website-uri. Mai apoi, datele obținute pot fi vândute pe piața neagră (dark web), unde se pot crea furturi de identitate”, spune acesta.
Conform expertului, AUR ar trebui sa închidă temporar site-ul sau accesul la baza de date, până aplică un filtru pe informațiile extrase din baza de date.
„Indiferent cât de bine securizată și criptată este baza de date, în momentul de față platforma oferă toate aceste informații în «plain text» pentru oricine știe «puțin IT», a conchis Marinescu, care este și proprietarul unei firme de IT. Și alți specialiști digitali, consultați de Libertatea, au confirmat breșa.
Liderul AUR, George Simion, a anunțat lansarea aplicației AUR în timpul congresului Partidului Republican din România în data de 11 iunie.
Odată ce descarci aplicația AUR, îți poți face un profil ca simpatizant AUR. Ți se cer date precum numele, numărul de telefon, localitatea, în vreme ce poza este opțională.
În profilul tău apare numărul de puncte acumulate. Acestea se adună dacă achiziționezi pachete financiare de susținere sau dacă faci alte acțiuni în aplicație, cum ar fi să inviți un prieten sau să îți completezi profilul cu alte date despre tine.
Pachetul Standard costă în aplicație 100 de lei, cel Argint este 1.500 de lei și cel AUR costă 5.000 de lei.
AUR mai folosește aplicația pentru a trimite notificări utilizatorilor legate de activitatea partidului.
Contactat recent de Libertatea, președintele AUR, George Simion, a spus că până la finalul lui iunie, peste 3.000 de oameni au cumpărat aceste pachete din aplicație. În mai puțin de două săptămâni, de când a fost lansată aplicația, partidul a încasat peste un milion de lei.
Simion a afirmat de curând că partidul are în conturi în jur de 8 milioane de euro, conform Hotnews.ro. Sunt banii din subvenția pentru partide, a precizat acesta pentru Libertatea.
Aplicația a fost realizată de către firma Spark Consult SRL. Conform Ministerului Finanțelor, aceasta a avut anul trecut venituri de 472.000 lei și o pierdere de 375.000 lei. Conform informațiilor avea la finalul anului trecut 5 angajați și are ca obiect de activitate realizarea de soft la comandă.
În 2021, Spark Consult SRL avea venituri de 2,02 milioane de lei și o pierdere de 243.000 lei, tot cu cinci angajați.
Vă mulțumim pentru că ne-ați semnalat problema de securitate informatică depistată de specialiștii dumneavoastră în structura aplicației aur.mobi. Am reușit, și datorită mesajului pe care ni l-ați transmis, să eliminăm rapid o imperfecțiune a aplicației noastre și să oferim în final utilizatorilor noștri o soluție mai bine securizată.
Vă informăm că am contactat firma care a realizat aplicația și am solicitat neîntârziat o verificare completă a softwareului.
Urmare a demersurilor inițiate, compania producătoare a confirmat existența unei breșe de securitate apărute în urma unei actualizări.
Timp de 24 de ore vom suspenda funcționarea aplicației pentru utilizatori pentru face toate testele de securitate și a fi siguri ca nu mai exista breșe similare.
Este destinul fiecărui proiect IT să devină stabil și sigur doar după încercări repetate și mai ales după o perioadă în care funcționează în regim real. Am fost foarte entuziaști la început, acum suntem mult mai atenți și urmărim în timp real parametrii de siguranță ai aplicației noastre.
Îi asigurăm pe toți utilizatorii aplicației aur.mobi că am realizat acest proiect inovator cu cele mai bune intenții și cu dorința sinceră de a elimina orice barieră între ei și structurile partidului. Vom dezvolta în continuare instrumente web care să le permită românilor să ne transmită în timp real opiniile și sugestiile lor, pentru a putea armoniza în permanență strategia politică a partidului cu dorințele și viziunile oamenilor pentru care lucrăm.