Украинские госучреждения рекламируют сайты для взрослых и японские интернет-магазины

Полноценный интернет-магазин по заказу в Японии вечерних платьев, японский ресурс по продаже копий люксовых часов и других промтоваров, а также реклама порносайтов – это далеко не полный перечень того, что можно обнаружить на сайтах украинских государственных интернет-ресурсов. Не полный, но очень показательный как маркер защищенности госаппарата на пути к «государству в смартфоне».

Показательные примеры обнаружил украинский ИБ-активист, сотрудник компании ИТ-Лаборатория Андрей Перцюх, и поделился найденным с InternetUA.

Украина – Япония

Если вам нужно, например, купить вечернее платье для церемонии в Японии, далеко ходить и искать японский аналог «Модной касты» не нужно. Вся необходимая информация, а именно «онлайн показ и продажа тщательно отобранных свадебных платьев высокого качества» (на первом скриншоте подчеркнуто красным) есть на сайте  Басейнового управления водных ресурсов рек Прут и Сирет Государственного агентства водных ресурсов Украины.

Здесь можно заказать вечерние платья (оптом и в розницу)

А на главной – узнать результаты рабочей встречи Группы по проблемах рек Прут и Сирет. Кибербезопасность на встрече не обсуждалась. 

Но какой же выход в люди в красивом платье из Японии и без аксессуаров? Стильные часы известного (как утверждают в интернет-магазине) американского бренда можно купить на ещё одном полностью «проломленном» сайте другого украинского госучреждения – Отдела Госгеокадастра в Деражнянском районе Хмельницкой области. Главная страница самого сайта, судя по всему – забытого всеми, не открывается (см. скриншот), зато на остальных – полным ходом функционирует интернет-торговля на японском.

Главная страница с минимумом полезной информации:

Купить коренному японцу американские часы через украинских чиновников от Геокадастра теперь легче, чем когда-либо:

Можно и, например, что-то другое подобрать – барную стойку:

Культурное порно

На фоне описанного ниже, иностранные интернет-магазины на базе украинских госучреждений выглядят детскими шалостями. Дело в том, что один из сайтов госучреждений рекламирует порносайт. Ирония в том, что рекламируется «чувствительный контент» ресурсом, где его точно быть не должно, – сайтом Департамента культуры и туризма, национальностей и религий Черниговской областной государственной администрации.

От культуры к инстинктам через редирект из сайта департамента.

Реклама «видео для взрослых» присутствует на сайте Департамента культуры уже достаточно давно.

Госсайты на службе у хакеров

– Это механизм серой раскрутки сайтов. Сайт госучреждения создан с фатальными ошибками в скриптах, что позволяет в параметрах запроса типа GET указать сторонний ресурс, на который и перейдет браузер пользователя при переходе по ссылке, – объясняет ИБ-эксперт Андрей Перцюх. – И порнография – это не самое худшее. Например, можно разместить на каком-то ресурсе malware и url-encoded ссылку сделать с помощью государственного сайта. Останется только переслать эту ссылку будто бы на государственный ресурс потенциальной жертве.

Напомним, украинские ИБ-активисты уже около двух лет проводят флэшмоб #fuckresponsibledisclosure, направленный на раскрытие и публичную огласку проблем с безопасностью государственных информационных ресурсов. За это время «дыры» и «утечки» были обнаружены на сотнях государственных ресурсов. Публичная огласка уязвимостей заставляет ответственных оперативно реагировать и устранять проблемы. Находятся, правда, и те, кто плевать хотел на безопасность государственных ресурсов, из-за чего уязвимости могут быть открыты годами.