"Nasi specjaliści sprawdzili ok. 600 systemów SAP z całego świata - okazało się, że zaledwie 5% było w pełni odpornych na próby włamania czy kradzieży danych. Można je bez większych problemów atakować i nie są do tego potrzebne żadne hasła czy loginy" - tłumaczył podczas konferencji Hack in the Box w Amsterdamie Juan Perez-Etchegoyen, szef działu technicznego Onapsis.

Problem jest o tyle poważny, że oprogramowanie SAP jest powszechnie wykorzystywane w dużych korporacjach, instytucjach rządowych i finansowych - w takich organizacjach skutki ewentualnego ataku informatycznego mogą mieć bardzo poważne następstwa. "Włamywacze mogą zakłócić przepływ środków finansowych, przechwytywać dane klientów i obywateli czy po prostu sparaliżować pracę wielkich firm" - tłumaczył Perez-Etchegoyen.

Zobacz również:

• Strategiczna współpraca NTT DATA Business Solutions i Beyond.pl
• VMware wzywa do pilnej aktualizacji oprogramowania Aria for Network Operations

Specjalista dodał, że pracownicy wielu potencjalnie narażonych firm nie mają pojęcia o tym, jak bardzo są zagrożeni i jak ważne jest regularne aktualizowanie oprogramowania. "To dziwna sytuacja. Autorzy SAP robią bardzo wiele, by zagwarantować odpowiedni poziom bezpieczeństwa - i udaje im się to. Problem w tym, że klienci nie stosują przygotowywanych przez firmę poprawek i aktualizacji" - wyjaśnił przedstawiciel Onapsis.

Perez-Etchegoyen zastrzegł jednak, że w przypadku SAP proces aktualizacji oprogramowania jest dużo bardziej skomplikowany niż w przypadku wielu innych popularnych produktów. Praktycznie każda implementacja tego rozwiązania jest dopasowana do specyficznych wymagań konkretnego klienta, a to oznacza, że wdrożenie jakiejkolwiek poprawki musi być poprzedzone całą serią szczegółowych testów, sprawdzających jej zgodność z wdrożonym systemem.

"Dziwicie się pewnie, dlaczego w takim razie nie słyszymy co chwilę o włamaniach do SAP - skoro systemy te są aż tak narażone na ataki? Możecie być pewni, że takie ataki są stosunkowo częste - problem w tym, że firmy albo o nich nie informują ze względów wizerunkowych, albo wręcz w ogóle o nich nie wiedzą" - podsumował Perez-Etchegoyen.