Keselamatan aplikasi MySejahtera lemah

PUTRAJAYA: Keselamatan aplikasi MySejahtera merupakan antara kelemahan yang diketengahkan dalam laporan Jabatan Audit Negara siri kedua bagi tahun 2021.

Laporan itu mendapati wujud 1.12 juta cubaan serangan untuk memecah masuk ke aplikasi MySejahtera itu.

Merujuk kepada minit mesyuarat keselamatan MySejahtera 2022, jabatan audit mendapati Pendaftaran Penerima Vaksin Covid-19 dari Pengurusan Majlis Keselamatan Kebangsaan dan Kementerian Kesihatan dan aplikasi MySejahtera mendedahkan bahawa percubaan serangan siber itu bermula pada 27 Oktober 2021, menggunakan alamat IP khusus.

Tindakan telah diambil untuk meningkatkan keselamatan aplikasi itu dengan mengeluarkan alamat IP itu, yang digunakan untuk percubaan memecah masuk.

Peralatan Web Application Firewall (WAF) telah dipasang pada 1 November 2021, selain melaksanakan pemantauan secara berterusan menggunakan peralatan WAF.

Kementerian Kesihatan berkata dalam respons terhadap laporan Jabatan Audit Negara pada 9 September 2022 bahawa alamat IP yang digunakan itu telah dinyahkan pada 28 Oktober 2021, dan laporan polis dibuat pada 5 November 2021.

Kementerian itu juga memaklumkan kepada Jabatan Audit Negara bahawa ia telah meneliti serangan itu dan tindakan telah diambil untuk memperbaiki keselamatan sistem tersebut.

Selain itu, laporan audit yang dibentangkan di Dewan Rakyat pada Khamis mendapati bahawa dari 28 Oktober hingga 31 Oktober 2021 terdapat percubaan dari akaun "super admin" untuk memuat turun maklumat tiga juta penerima vaksin dengan menggunakan lima alamat IP.

Pemeriksaan lanjut audit ke atas data pengguna mendedahkan bahawa akaun berkenaan dapat masuk ke pentadbir vaksin di aplikasi MySejahtera.

Ini membolehkannya memuat turun atau memuat naik kesemua data vaksin dan malah boleh menghapuskan data tersebut.

Sebagai langkah keselamatan, Kementerian Kesihatan telah membatalkan akaun pengguna berkenaan dan laporan polis telah dibuat pada 5 November 2021.

Memberi respons terhadap laporan Jabatan Audit Negara itu, Kementerian Kesihatan berkata akaun "super admin" itu telah mendapat kebenaran Kementerian Kesihatan, tetapi telah disalah gunakan.

"Sebaik sahaja perkara itu diketahui, akaun tersebut dihentikan serta merta," kata kementerian itu.

Ia menambah perkara tersebut sedang dalam siasatan polis. - The Star.