Une sonnette d'alarme pour la cybersécurité nationale

Lors de la prestigieuse conférence Def Con à Las Vegas, deux chercheurs en sécurité polonais, Robert Kruczek et Kamil Szczurowski, ont présenté les résultats d'une étude exhaustive et inquiétante. Mus par un sentiment de patriotisme et une volonté de renforcer la résilience de leur pays, ils ont scanné l'ensemble du web polonais à la recherche de vulnérabilités. Leurs conclusions sont sans appel : la Pologne fait face à des risques cybernétiques majeurs touchant ses infrastructures les plus sensibles.

Des chiffres qui donnent le vertige

L'ampleur de l'exposition découverte par le duo est stupéfiante. L'étude a identifié :

• Plus de 10 000 entités publiques concernées.
• Environ 250 000 sites web présentant des failles de sécurité.
• Des secteurs critiques touchés, notamment les aéroports, les hôpitaux et les administrations gouvernementales.

Ces vulnérabilités ne sont pas de simples erreurs théoriques. Dans de nombreux cas, elles auraient permis à des acteurs malveillants de prendre le contrôle total des plateformes de communication gouvernementales ou d'accéder à des bases de données sensibles.

Le danger des logiciels obsolètes (End-of-Life)

L'une des découvertes les plus frappantes concerne le système de gestion de contenu Pad CMS, largement utilisé par les institutions polonaises. Les chercheurs ont trouvé des failles critiques permettant d'accéder à plus de 300 sites publics sans même avoir besoin d'un mot de passe.

Le problème majeur réside dans la maintenance : le développeur de ce logiciel n'a pas publié de correctif, car le produit est considéré comme étant en "fin de vie" (end-of-life). Cela signifie que des centaines d'organisations utilisent des outils que personne ne protège plus contre les nouvelles menaces. Un autre bug particulièrement grave a permis d'accéder aux systèmes de près de deux tiers de l'appareil judiciaire polonais, soit environ 245 tribunaux.

Un contexte géopolitique sous tension

Cette étude intervient alors que la Pologne s'efforce de renforcer ses cyber-défenses. Le pays a été la cible d'une vague d'attaques, souvent attribuées à des groupes liés à la Russie, visant spécifiquement les fournisseurs d'énergie et d'eau.

Les chercheurs ont souligné que la facilité avec laquelle certaines de ces failles peuvent être exploitées est alarmante. Pourtant, leur signalement n'a pas toujours été pris au sérieux par les fournisseurs de logiciels, certains qualifiant ces rapports de simples "inconvénients" plutôt que de menaces de sécurité critiques.

Vers une culture du signalement et des bug bounties

Pour Kruczek et Szczurowski, le constat est clair : la Pologne manque de programmes de bug bounty (récompenses pour la découverte de failles) et de canaux officiels efficaces pour rapporter les vulnérabilités.

Malgré les obstacles bureaucratiques rencontrés, les chercheurs estiment que leur démarche a porté ses fruits. En signalant ces failles aux autorités via les canaux officiels, ils ont contribué à combler certaines brèches. Comme ils l'ont conclu lors de leur intervention : "Grâce à cela, nous sommes un peu plus en sécurité aujourd'hui."

La situation polonaise sert d'avertissement mondial : la sécurité nationale d'un pays dépend désormais autant de la robustesse de son code informatique que de la solidité de ses frontières physiques.