Văn phòng luật dùng một mật khẩu quản trị để đăng nhập thay mọi người
"A law firm used a single master/admin password that allowed users to log in as any staff member or client in its web-based case management system, exposing sensitive personal and health information. The issue was reported as a long-standing security flaw in a 15-year-old system; when a replacement system was being built, the developer refused to add back doors, but management reportedly responded by promoting all users to system administrators instead of fixing the access-control design."
Lỗ hổng thiết kế xác thực cho phép đăng nhập giả mạo người khác và truy cập dữ liệu y tế/PII; mức độ ảnh hưởng cao do phạm vi truy cập có thể bao trùm cả nhân sự lẫn khách hàng.
Rủi ro tuân thủ và uy tín tăng do khả năng lộ thông tin nhạy cảm; đồng thời vận hành có thể bị gián đoạn khi phải thay đổi mô hình quyền truy cập và khắc phục thiết kế hệ thống.
Một văn phòng luật được cho là đã triển khai hệ thống quản lý hồ sơ vụ việc trên nền tảng web với một mật khẩu master/admin. Chỉ cần biết mật khẩu này, người dùng có thể đăng nhập giả mạo bất kỳ nhân sự hoặc khách hàng nào trong hệ thống và truy cập dữ liệu nhạy cảm, bao gồm thông tin cá nhân và hồ sơ sức khỏe.
Theo phản ánh, nhiều người trong tổ chức đã sử dụng chung mật khẩu này. Cơ chế phân quyền dựa trên giao diện theo loại khách hàng, nhưng lỗ hổng nằm ở thiết kế xác thực: chỉ cần có email của nạn nhân là có thể impersonate họ, từ đó thực hiện các thao tác như chuyển/hoàn tất công việc hoặc điền thay thông tin còn thiếu.
Hệ thống được mô tả đã tồn tại khoảng 15 năm và cần thay thế. Khi xây dựng hệ thống mới, người phát triển từ chối thêm “back door”, nhưng theo nội dung bài viết, ban quản lý được cho là đã xử lý bằng cách nâng quyền tất cả người dùng lên quản trị hệ thống thay vì sửa thiết kế kiểm soát truy cập.
Khuyến nghị: loại bỏ mật khẩu dùng chung, áp dụng RBAC/ABAC rõ ràng, dùng tài khoản riêng và cơ chế ủy quyền theo nguyên tắc ít đặc quyền; đồng thời rà soát các luồng đăng nhập/impersonation để đảm bảo không thể truy cập chéo trái phép.