Systemy zarządzania dostępem (AMS) pełnią ważną rolę w kontroli dostępu do budynków i obiektów o ograniczonym dostępie. Wykorzystują dane biometryczne, karty dostępu, numery tablic rejestracyjnych oraz inne metody identyfikacji, aby zapewnić bezpieczeństwo pracowników i infrastruktury. Tym większe jest zaniepokojenie, gdy okazuje się, że dziesiątki tysięcy takich systemów pozostaje bez właściwego zabezpieczenia.
Ujawnione luki w bezpieczeństwie
Na początku 2025 roku badacze z Modat przeprowadzili analizę globalnej ekspozycji systemów AMS i natrafili na alarmujące nieprawidłowości. Znaleźli 49 000 systemów zarządzania dostępem, które były dostępne publicznie, bez odpowiedniego uwierzytelniania. W praktyce oznaczało to, że każdy mógł uzyskać do nich dostęp, a w wielu przypadkach również dokonywać nieautoryzowanych zmian. Konsekwencje takich zaniedbań są poważne. Systemy AMS gromadzą ogromne ilości wrażliwych danych dotyczących pracowników i funkcjonowania obiektów. W ujawnionych systemach znajdowały się między innymi pełne imiona i nazwiska użytkowników, ich adresy e-mail, numery telefonów oraz szczegółowe harmonogramy pracy. Dodatkowo, w niektórych przypadkach dostępne były także dane biometryczne, w tym odciski palców oraz nagrania rozpoznawania twarzy. Szczególnie niepokojąca była możliwość edytowania akt pracowników – badacze mogli dodawać nowe osoby do systemu, zmieniać uprawnienia dostępu lub blokować legalnych użytkowników.
Ryzyko dla infrastruktury
Skala zagrożenia jest ogromna, zwłaszcza w kontekście budynków rządowych, elektrowni i stacji uzdatniania wody. W tych przypadkach każda luka w zabezpieczeniach może prowadzić do fizycznego dostępu nieautoryzowanych osób, co niesie potencjalne ryzyko dla całych społeczności. Nieuprawniony dostęp do systemów AMS stanowi także istotne zagrożenie dla bezpieczeństwa informacyjnego. Przejęcie tych danych przez cyberprzestępców otwiera drogę do przeprowadzania ataków socjotechnicznych, takich jak spear-phishing. Dzięki posiadaniu szczegółowych informacji o pracownikach napastnicy mogą łatwiej podszyć się pod członków organizacji i zdobywać jeszcze więcej wrażliwych informacji.
Globalny problem
Wśród 49 000 ujawnionych systemów największą liczbę zidentyfikowano we Włoszech – aż 16 678 przypadków. Kolejne kraje to Meksyk, gdzie wykryto 5 940 błędnie skonfigurowanych systemów, oraz Wietnam z liczbą 5 035 ujawnionych AMS. Stany Zjednoczone również znalazły się na tej liście, z 1 966 przypadkami publicznie dostępnych systemów zarządzania dostępem. Odkrycie badaczy z Modat pokazuje, jak powszechny jest problem nieodpowiedniego zabezpieczania systemów AMS. Każda firma i instytucja korzystająca z takich technologii powinna przeprowadzić natychmiastowy audyt swoich konfiguracji, aby upewnić się, że nie pozostawiają one furtki dla cyberprzestępców.
