Două primării din Sibiu au site-urile atât de proaste, încât orice „pui de hacker” le poate sparge. E-mailurile Consiliului Județean și ale Primăriei Sibiu sunt ușor de falsificat

În urma unei evaluări făcută de platforma Barometrul Digital a rezultat că site-urile a două primării din județul Sibiu sunt atât de prost construite și întreținute, încât este mai sigur să nu le fie făcută publică identitatea pentru a nu atrage atenția potențialilor atacatori. De cealaltă parte, cel mai sigur site de primărie din județul Sibiu este cel al administrației din Porumbacu de Jos.

Calitatea slabă a unora dintre site-urile instituțiilor publice din țara noastră a devenit o pacoste pe care cetățenii încep să o resimtă tot mai mult. Situația site-ului Cadastrului din România, inutilizabil de aproape două săptămâni după ce a fost atacat de hackeri, este unul din cele mai bune exemple în acest sens.

Acesta este contextul în care un antreprenor în IT a lansat o platformă denumită Barometrul Digital, prin care a verificat „igiena digitală” a aproape 2.500 de instituții publice, de la primării, la spitale. În funcție de mai multe criterii au fost date note între 1 și 10, rezultând o medie națională de 7,09.

Cele 61 de site-uri de instituții publice (59 de primării, Consiliul Județean și Romgaz) au o medie a „igienei digitale” apropiată de cea națională, respectiv 7,1.

Cea mai bine notată instituție este Primăria Comunei Porumbacu de Jos (8,5), urmată de Romgaz (8,1) și Primăria Comunei Șura Mare (7,6). Primăria Municipiului Sibiu se situează ușor peste medie (nota 7,4), în timp ce Consiliul Județean Sibiu se află sub medie, pe locul 52 din 61 (nota 6,8).

Porumbacu de Jos: aproape perfectă la trei din cinci capitole

Primăria Comunei Porumbacu de Jos a obținut cea mai mare notă din județ, cu rezultate maxime la trei din cinci capitole evaluate.

La securitatea e-mailului a primit nota 10. Acesta este capitolul care măsoară cât de greu îi este unui atacator să trimită mesaje electronice false în numele instituției – emailuri prin care cetățenii pot fi induși în eroare să plătească taxe fictive, să transmită date personale sau să acceseze link-uri periculoase, de exemplu.

La criptarea site-ului și validitatea certificatelor a primit tot nota 10. Criptarea este cea care protejează datele pe care un cetățean le introduce pe site – de la CNP și adresă până la plăți – împiedicând interceptarea lor pe drum. Un site fără criptare sau cu certificate expirate poate fi și clonat mai ușor: cetățenii riscă să ajungă pe o pagină falsă, identică vizual cu cea oficială, fără să-și dea seama.

Și la suprafața expusă inutil pe internet nota site-ului Primăriei Porumbacu de Jos este 10 – cu cât mai puține sisteme ale instituției sunt vizibile public fără nevoie, cu atât mai puține puncte de intrare are un potențial atacator. Igiena generală a primit nota 9, ceea ce înseamnă că software-ul site-ului este actualizat și domeniul nu apare pe liste de malware – important, fiindcă software-ul neactualizat are vulnerabilități publice pe care roboții le exploatează automat, fără intervenție umană.

Singura slăbiciune vizibilă este configurarea de securitate (nota 6). Acest capitol acoperă mecanismele tehnice care împiedică injectarea de scripturi malițioase în paginile site-ului – cu alte cuvinte, un fel de programe care pot fura, fără știrea vizitatorului, datele introduse în formulare.

Primăria Sibiu și Consiliul Județean: site-uri mediocre

Primăria Municipiului Sibiu a obținut nota 7,4, cu criptare bună a site-ului (9), igienă generală solidă (9) și suprafață expusă minimă (10). Slăbiciunile principale sunt securitatea e-mailului (5) și configurarea de securitate (5). Nota de 5 la securitatea e-mailului semnalează că domeniul instituției nu folosește complet standardele care împiedică falsificarea expeditorului – concret, un atacator poate trimite mai ușor un email care pare să vină oficial de la primărie, prin care să solicite cetățenilor plata unor sume de bani sau furnizarea de date personale.

Consiliul Județean Sibiu are nota 6,8 – locul 52 din 61, sub media județului. Criptarea (10) și igiena generală (9) sunt bune. Slăbiciunile sunt configurarea de securitate (nota 4) și suprafața expusă pe internet (nota 6). O configurare slabă la primul capitol înseamnă că vizitatorii site-ului sunt mai puțin protejați față de scripturi injectate de terți, iar o suprafață expusă mai mare – nota 6 față de maximul 10 – înseamnă că sistemele instituției au mai multe puncte vulnerabile accesibile din exterior.

Două primării din județ au site-uri periculoase

La coada clasamentului din Sibiu se află două primării a căror identitate Barometrul Digital o ascunde temporar. „O notă mică semnalează o apărare cu goluri, iar noi nu vrem s-o transformăm într-o țintă”, explică reprezentanții Barometrului Digital de ce au decis să nu identifice primăriile. Numele acestora vor fi publicate abia după ce instituțiile sunt notificate și li se dă șansa să remedieze problemele.

Prima primărie are nota 4 – categoria „corigent”. Problema critică este suprafața expusă pe internet (nota 4), care a limitat automat nota generală la maximum 4. Concret, infrastructura acestei instituții este vizibilă și accesibilă inutil din exterior, oferind atacatorilor mai multe puncte prin care pot încerca să pătrundă în sistemele primăriei – și, de acolo, eventual, să acceseze date ale cetățenilor sau să preia controlul asupra site-ului. Configurarea de securitate a primit și ea nota 4.

A doua primărie a primit nota 2 – categoria „repetent”. Problema critică este criptarea și certificatele (nota 1). Practic, datele pe care cetățenii le introduc pe site – cereri, date personale, informații de contact – pot fi interceptate în tranzit de oricine se află pe același traseu de rețea.

Iar site-ul poate fi ușor clonat: un atacator poate pune online o pagină identică vizual, pe care cetățenii să o acceseze crezând că e cea oficială. Configurarea de securitate a primit nota 3. Platforma avertizează că, în cazul instituțiilor cu note sub 5, riscurile concrete includ „e-mailuri false trimise cetățenilor în numele instituției” și „site deturnat”.

Primăriile sibiene care lipsesc din evaluarea Barometrului Digital și printre care se regăsesc cele două cu site-uri periculoase sunt Mediaș, Brateiu, Bruiu, Cârțișoara, Gura Râului, Loamneș și Râu Sadului.

Romgaz, locul 2 din 61

Compania de stat cu sediul la Mediaș a obținut nota 8,1, cu un profil echilibrat: suprafață expusă minimă (10), criptare solidă (9) și igienă generală bună (9). Punctele mai slabe sunt securitatea e-mailului (8) și configurarea de securitate (6) – același tip de vulnerabilitate ca la Porumbacu, prezentă și la majoritatea instituțiilor din județ.

„Am lucrat cu profesioniști”

Dorel Ioan Martincu, primarul comunei Porumbacu de Jos spune că de site-ul administrației locale s-a ocupat încă din perioada în care era viceprimar. Spune că a ales firma care să se ocupe de crearea site-ului pe bază de recomandări. „În momentul în care faci o achiziție fără să știi, riști să vină unii cu prețul cel mai mic și obții un lucru ieftin și prost. Dar, dacă te interesezi, întrebi, identifici oamenii profesioniști. Noi cu aceeași firmă facem și mentenanța site-ului, pentru că este important să îl și întreții”, declară Doru Martincu, pentru cititorii Turnul Sfatului.

Sfatul către colegii săi primari este să „întrebe de profesioniști”. „Nu sunt costuri foarte mari, să știți”.

Cu recomandări

Barometrul Digital este un proiect independent creat de Mircea Șerdin, antreprenor IT. Platforma verifică exclusiv ce este vizibil public pe site-urile instituțiilor – fără nicio intruziune – și acordă note de la 1 la 10 pentru cinci criterii: securitatea e-mailului, criptarea și certificatele, configurarea de securitate, suprafața expusă pe internet și igiena generală. Notele sunt publice, iar constatările tehnice concrete ajung doar la instituțiile vizate, pentru a nu oferi o hartă atacatorilor. Platforma oferă ghiduri de remediere gratuite și reverifică orice instituție care semnalează o corecție.