Poprzez SQL injection dostali się 130 000 rekordów z do bazy Polskiego Związku Szachów.

Dwóch badaczy: Robert Kruczek i Kamil Szczurowski przesłało nam ciekawe znalezisko (wszystkie wytłuszczenia w tekście pochodzą od redakcji):

W połowie kwietnia 2025 roku udało nam się zlokalizować trywialną podatność bezpieczeństwa w jednym z systemów należących do opisywanej instytucji. System ten zawiera w swojej bazie dane około 130 tysięcy osób. Tego samego dnia, dokonaliśmy zgłoszenia do zespołu CERT Polska. Według naszych ustaleń, wspierając się narzędziem web.archive.org, podatność występowała tam co najmniej od 2013 roku. Podatność pozwalała na pełny zrzut bazy danych, w tym wspomnianych danych osobowych członków Związku. Dane wrażliwe to między innymi adres, adres korespondencyjny, numer telefonu, email, imię, drugie imię, nazwisko, data urodzenia.

Po zgłoszeniu panowie odpytywali CERT Polska z pytaniem o status naprawy aplikacji. W końcu po niemal 4 miesiącach okazało się, że Związek usunął podatność w dość nietypowy sposób:

Dnia 08.08.2025 otrzymano informację od zespołu CERT Polska, że podmiot usunął część danych teleadresowych z bazy (w czerwcu) i wprowadził dodatkowe zabezpieczenie w postaci WAF’a. Weryfikacja pozwoliła ustalić, że rzeczywiście dane wrażliwe zostały w pewnym stopniu ograniczone, choć nadal można uzyskać między innymi: imię, nazwisko, miejsce urodzenia (miasto), data urodzenia. Weryfikacja wprowadzonego mechanizmu WAF wykazała, że ten nie różni się od pierwotnej implementacji dla wspomnianego zlokalizowanego błędu.

Co się działo dalej? Wg relacji Roberta i Kamila:

Dnia 12.01.2026 skontaktowaliśmy się z IOD (Inspektorem Ochrony Danych) podatnego podmiotu, po wielu nieudanych próbach w roku poprzednim. Podczas rozmowy ustalono, iż instytucja ta jest niewystarczająco dofinansowana, aby zmodyfikować, naprawić czy zmienić system na nowy (wolny od wad). Zaproponowaliśmy rozwiązanie w postaci dostarczenia łatki, która zniwelowałaby potencjalne ryzyka w znaczącym stopniu eliminując możliwość wykonania skutecznego ataku, a tym samym przetrwanie w trudnych warunkach do wydania nowej wersji oprogramowania.

Przed publikacją poprosiliśmy o komentarz do sprawy Polski Związek Szachowy. Otrzymaliśmy odpowiedź od pani Beaty Kowalewskiej, Dyrektor Biura PZSzach:

Polski Związek Szachowy, jako polski związek sportowy działający na podstawie ustawy o sporcie, posiada kompetencje do ustanawiania i realizacji reguł organizacyjnych dotyczących współzawodnictwa sportowego, zgodnie m.in. z art. 13 ust. 1 pkt 2 ustawy o sporcie. W ramach tych kompetencji funkcjonuje system ewidencji PZSzach. Zgodnie z Regulaminem Ewidencyjnym PZSzach Centralny Rejestr zawiera niezbędne informacje ewidencyjne i sportowe oraz jest dostępny na stronie internetowej Związku.

Jawny charakter dotyczy przede wszystkim podstawowych informacji, takich jak imię i nazwisko, data urodzenia, przynależność klubowa, kategoria i tytuł szachowy, rankingi oraz informacje związane z przebiegiem kariery sportowej.

Nie dotyczy to natomiast danych takich jak adres zamieszkania, adres korespondencyjny czy numer telefonu.

Sekurak: Czy potwierdzają Państwo występowanie tej podatności?

[PZSz]: Potwierdzamy, że Polski Związek Szachowy otrzymał za pośrednictwem CERT Polska zgłoszenie dotyczące podatności typu SQL injection w Centralnym Rejestrze PZSzach. Po otrzymaniu zgłoszenia problem został zweryfikowany i podjęto działania techniczne dotyczące wskazanej podatności.

Centralny Rejestr jest systemem powstałym w latach 2008-2009 i w znacznej części opartym na rozwiązaniach technologicznych pochodzących z tego okresu. Jego architektura istotnie ogranicza możliwości dalszej modernizacji.

PZSzach dostrzega potrzebę zastąpienia w kolejnych latach obecnego systemu nowym rozwiązaniem. Jest to jednak duże przedsięwzięcie informatyczne, wymagające znaczących nakładów finansowych, dlatego możliwość jego realizacji będzie uzależniona m.in. od możliwości finansowych Związku i pozyskania odpowiednich środków.

W bazie znajdowały się również dane gromadzone na wcześniejszych etapach funkcjonowania systemu, gdy zakres prowadzonej ewidencji był szerszy. Dotyczyło to m.in. danych adresowych i kontaktowych. Dane te nie były wykorzystywane w bieżącej działalności Centralnego Rejestru. Po przeglądzie zakresu przechowywanych informacji dane, których dalsze przechowywanie nie było potrzebne, zostały usunięte.

Czy podatność została usunięta? Kiedy?

W 2026 r. wprowadzono w systemie zmiany techniczne mające na celu wyeliminowanie zgłoszonego sposobu wykorzystania podatności oraz dodatkowe ograniczenie ryzyka występowania tego rodzaju problemów. Ze względu na wiek i architekturę systemu nie był przeprowadzany kompleksowy audyt bezpieczeństwa całej aplikacji. Nie możemy zatem stwierdzić, że system jako całość jest wolny od innych potencjalnych podatności.

Czy przeprowadzili Państwo analizę incydentu w celu ustalenia, czy podatność była wykorzystywana do ewentualnego nieautoryzowanego pobrania danych przez osoby inne niż badacze?

Nie przeprowadzano odrębnego, kompleksowego audytu historycznego pozwalającego na jednoznaczne ustalenie, czy podatność była wcześniej wykorzystywana.

Nie odnotowaliśmy jednak zdarzeń ani nie otrzymaliśmy informacji wskazujących, aby zgłoszona podatność była wykorzystywana przez inne osoby w celu nieautoryzowanego pobrania danych.

Z tego względu nie mamy podstaw do potwierdzenia, że do takiego zdarzenia doszło, ale jednocześnie nie możemy kategorycznie wykluczyć każdego potencjalnego wykorzystania podatności w przeszłości.

Należy również uwzględnić, że zdecydowana większość informacji znajdujących się w Centralnym Rejestrze obejmuje podstawowe dane ewidencyjne i sportowe, które były i pozostają publicznie dostępne. 

Ile szacunkowo rekordów znajdowało się w bazie?

Według naszych szacunków w okresie, którego dotyczy zgłoszenie, Centralny Rejestr zawierał około 135 tys. rekordów.

Nie oznacza to jednak, że w każdym z tych rekordów znajdował się pełny zakres danych wymienionych w Państwa wiadomości. Zdecydowana większość informacji zgromadzonych w rejestrze to podstawowe dane ewidencyjne i sportowe, które są publicznie dostępne w Centralnym Rejestrze. Zakres danych dodatkowych, w tym historycznych danych adresowych i kontaktowych, był zróżnicowany w zależności od rekordu. Dane te, jako niewykorzystywane w bieżącym funkcjonowaniu systemu, zostały usunięte. Nie dotyczy to natomiast danych dodatkowych jak wizerunek, adres zamieszkania, adresy korespondencyjne czy numer telefonu, które zamieszczane i usuwane są na każde żądanie osoby ujawnionej w kartotece.

~Michał Sajdak