Një investigim i publikuar nga eksperti amerikan i sigurisë kibernetike Patrick Quirk ngre pikëpyetje serioze mbi sigurinë e infrastrukturës digjitale të Kuvendit të Shqipërisë.
Sipas tij, një ndërfaqe API e institucionit ka qenë për një periudhë e aksesueshme pa autentifikim, duke mundësuar marrjen e dhjetëra mijëra dokumenteve dhe të dhënave parlamentare.
Quirk pretendon se gjatë muajve shkurt dhe prill 2026 ka arritur të mbledhë gjithsej 52,942 skedarë, me një volum prej 32.09 GB. Materialet lidhen me aktivitetin e Kuvendit dhe përfshijnë dokumente PDF, Excel dhe Word, të dhëna për deputetët, aktet legjislative, mbledhjet, lajmet, komisionet dhe strukturat parlamentare.
Sipas të dhënave të publikuara në investigim, arkivi përmban 30,455 dokumente PDF, 376 skedarë XLSX dhe 729 dokumente DOCX. Mes tyre pretendohet se gjenden edhe materiale mbi pagat dhe përfitimet e deputetëve, dokumente të komisioneve parlamentare, raporte dhe materiale të tjera administrative.
Një pjesë e investigimit ndalet te të dhënat e deputetëve. Autori thotë se një prej endpoint-eve të API-së, me emrin “anetaret”, kthente 236 rekorde, ku përfshiheshin emri, atësia, datëlindja, vendlindja, adresa zyrtare e emailit, partia politike, qarku, fotografia dhe lidhje me profilet në rrjetet sociale.
Sipas Quirk, API-ja funksiononte mbi infrastrukturën Microsoft Azure dhe shumica e endpoint-eve jepnin informacion pa kërkuar autentifikim. Vetëm endpoint-i “abonimet”, sipas tij, kthente përgjigjen 401, që nënkupton se kërkonte identifikim.
Autori argumenton se kjo tregon se mekanizmi i autentifikimit ekzistonte në sistem, por nuk ishte aplikuar në mënyrë të njëtrajtshme për të gjitha pjesët e API-së.
Investigimi trajton gjithashtu mënyrën e ruajtjes së dokumenteve në Microsoft Azure Blob Storage. Sipas autorit, API-ja përmbante një katalog me dhjetëra mijëra adresa direkte që të çonin te dokumentet e Kuvendit.
Megjithëse nuk ishte e mundur të shfaqej publikisht e gjithë lista e skedarëve përmes një “directory listing”, dokumentet individuale mund të hapeshin përmes adresave që ndodheshin në katalog.
Në prill 2026, sipas investigimit, katalogu përmbante 57,287 adresa dokumentesh. Quirk thotë se, duke përdorur këto adresa dhe duke kryer shkarkimin në dy faza, arriti të siguronte 52,942 skedarë, ose rreth 94.7% të materialeve të evidentuara. Pjesa tjetër, sipas tij, nuk ishte më e disponueshme në server.
Një tjetër pjesë e analizës lidhet me dokumentet financiare. Autori pretendon se ka identifikuar 11,030 rreshta të dhënash mbi pagat, që lidhen me 398 deputetë të ndryshëm dhe mbulojnë periudhën nga gushti 2018 deri në janar 2026.
Sipas investigimit, situata ndryshoi më 19 qershor 2026. Kur endpoint-et u testuan sërish, ato nuk jepnin më informacion në formatin JSON, por ridrejtonin te faqja kryesore e Kuvendit.
Quirk e cilëson këtë si një “mbyllje të heshtur” të API-së, duke thënë se nuk kishte marrë një shpjegim zyrtar për ndryshimin.
Më 18 gusht 2026, autori publikoi në platformën ODINT arkivin e mbledhur më herët. Sipas tij, aty përfshihen dokumente parlamentare, një ndërfaqe për kërkimin e të dhënave mbi deputetët, materiale financiare dhe dokumente të tjera që ai pretendon se kanë qenë të aksesueshme përmes infrastrukturës publike të Kuvendit.
Investigimi e lidh rastin edhe me historikun e problemeve të sigurisë kibernetike në Shqipëri, duke përmendur publikimin e të dhënave personale të qytetarëve në vitet 2021 dhe 2022, sulmet kibernetike ndaj institucioneve shtetërore dhe hetimet e mëvonshme që kanë përfshirë drejtues të Agjencisë Kombëtare të Shoqërisë së Informacionit, AKSHI.
Në analizë përmendet edhe Diella, sistemi i Inteligjencës Artificiale i prezantuar nga Qeveria shqiptare dhe më pas i vendosur në rolin e Ministres së Shtetit për Inteligjencën Artificiale. Sipas autorit, ambicia për përdorimin e Inteligjencës Artificiale në administratë bie në kontrast me dobësitë që ai pretendon se ka evidentuar në infrastrukturën ekzistuese digjitale të institucioneve.
Quirk thotë se ka analizuar edhe një tjetër sistem të lidhur me Kuvendin, “bisedimet.parlament.al”, ku pretendon se ka konstatuar probleme të tjera teknike dhe konfigurime të diskutueshme të sigurisë.
Autori bën një dallim mes dokumenteve të Kuvendit që, sipas tij, kanë qenë të aksesueshme përmes infrastrukturës zyrtare dhe databazave të tjera të dala nga rrjedhje të mëparshme të të dhënave në Shqipëri.
Ai deklaron se nuk ka publikuar në mënyrë të hapur databaza masive që përmbajnë të dhëna personale të qytetarëve, përfshirë të dhënat e votuesve, databazën kombëtare të pagave apo informacione mbi persona të dyshuar për vepra penale.
Rasti ngre disa pyetje për institucionet përgjegjëse: për sa kohë kanë qenë të aksesueshme të dhënat, nëse ato janë shkarkuar edhe nga persona të tjerë dhe nëse është kryer një auditim për të përcaktuar shkallën e ekspozimit të informacionit.
Nëse pretendimet konfirmohen përmes një auditimi të pavarur teknik, çështja do të shkonte përtej një konfigurimi të gabuar të një API-je, duke prekur sigurinë e informacionit, mbrojtjen e të dhënave personale dhe përgjegjësinë institucionale për administrimin e sistemeve shtetërore.
Deri në një reagim zyrtar nga Kuvendi, AKSHI apo institucionet përgjegjëse për sigurinë kibernetike, pretendimet e ngritura nga investigimi mbeten gjetje të raportuara nga autori dhe jo fakte të konfirmuara në mënyrë të pavarur. /skyweb.al
