Continuar a negar

Portal Novas Oportunidades não foi alvo de ataque informático
2010-03-08

Os meios de comunicação social e outras entidades produtoras de conteúdos na área das tecnologias da informação divulgaram hoje, dia 8 de Março, uma notícia de acordo com a qual o portal da Iniciativa Novas Oportunidades, gerido pela Agência Nacional para a Qualificação, I.P. (ANQ), teria sido alvo de um ataque informático de defacing, desde o dia 6 de Março.

Em resposta a esta notícia, a ANQ esclarece que o Portal da Iniciativa Novas Oportunidades não foi alvo de qualquer ataque informático.

Os problemas identificados ocorreram unicamente num site autónomo, que incluía testemunhos de formandos e ex-formandos da Iniciativa Novas Oportunidades, criado especificamente no âmbito das acções de divulgação de uma campanha publicitária de sensibilização da população adulta para a importância da qualificação, desenvolvida no final de 2008. (…)

A estratégia é negar sempre. A questão é que as vulnerabilidades descobertas permitiram o acesso à BD, logo a questão não é se o site foi ou não atacado (foi) mas sim se foram ou não roubados dados da BD do site.

Outro aspecto mirabolante é pretender que o subdomínio onde o SQL injection ocorreu é um site autónomo, como se isso fosse menos grave ou com danos controlados.

A atitude honesta seria comunicar que foi encontrada uma vulnerabilidade e que ela foi usada para mudar os conteúdos da base de dados do site. Claro que isto logo levaria à questão sobre a origem da vulnerabilidade e logo se perceberia que esta é absolutamente trivial (falta de validação dos parâmetros usados para fazer interrogações à base de dados). Algo com que qualquer aluno de licenciatura chumbaria num trabalho de curso. Daí que se opte por negar. Básico mas desonesto.

Relacionado: