Nochris goeie! Ik haw wer in iepen database fûn mei medyske gegevens foar jo. Lit my jo herinnerje dat d'r koartlyn trije fan myn artikels oer dit ûnderwerp wiene: , и .
Dizze kear wie de Elasticsearch-tsjinner mei logs fan it medyske IT-systeem fan it laboratoariumnetwurk iepenbier beskikber.Sintrum foar Molekulêre Diagnostyk"(CMD, www.cmd-online.ru).
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.
De tsjinner waard ûntdutsen op 'e moarn fan 1 april en it like my hielendal net grappich. In notifikaasje oer it probleem gie nei CMD om sawat 10 oere (Moskou-tiid) en om sawat 15:00 oere waard de databank net tagonklik.
Neffens de Shodan-sykmasjine waard dizze server foar it earst iepenbier beskikber makke op 09.03.2019/XNUMX/XNUMX. Dêr oer , Ik skreau in apart artikel.
Hiel gefoelige ynformaasje koe wurde krigen út de logs, ynklusyf Folsleine namme, geslacht, bertedatum fan pasjinten, folsleine nammen fan dokters, kosten fan ûndersyk, ûndersyksgegevens, bestannen mei screeningresultaten en folle mear.
Foarbyld fan in log mei resultaten fan pasjinttests:
"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///Ik haw alle gefoelige gegevens ynfolle mei in "X". Yn werklikheid waard alles iepen hâlden.
Fan sokke logs wie it maklik (troch konvertearjen fan Base64) om PNG-bestannen te krijen mei screeningresultaten, al yn in maklik te lêzen foarm:
De totale grutte fan 'e logs befette 400 MB en yn totaal befette se mear as in miljoen ynstjoerings. It is dúdlik dat net elk rekord unike pasjintgegevens fertsjintwurdige.
Offisjele reaksje fan CMD:
Wy wolle jo betankje foar it prompt ferstjoeren fan ynformaasje op april 01.04.2019, XNUMX oer de oanwêzigens fan in kwetsberens yn 'e Elasticsearch-flaterlogging en opslachdatabase.
Op grûn fan dizze ynformaasje beheine ús meiwurkers, tegearre mei relevante spesjalisten, tagong ta de opjûne databank. De flater by it oerdragen fan fertroulike ynformaasje nei de technyske databank is reparearre.
Tidens de analyze fan it ynsidint wie it mooglik om út te finen dat it uterlik fan 'e oantsjutte databank mei flaterlogs yn it publike domein wie fanwege in reden dy't relatearre wie oan' e minsklike faktor. Tagong ta de gegevens waard prompt sluten op 01.04.2019/XNUMX/XNUMX.
Op it stuit nimme ynterne en eksterne spesjalisten maatregels om de IT-ynfrastruktuer ekstra te kontrolearjen foar gegevensbeskerming.
Us organisaasje hat spesjale regeljouwing ûntwikkele foar it wurkjen mei persoanlike gegevens en in systeem fan nivo fan persoanlike ferantwurdlikens.
De hjoeddeistige softwareynfrastruktuer brûkt in Elasticsearch-database om flaters op te slaan. Om de betrouberens fan guon systemen te ferbetterjen, wurde de oerienkommende tsjinners migrearre nei it datasintrum fan ús partner, nei in sertifisearre software- en hardwareomjouwing.
Tankewol foar de op 'e tiid levere ynformaasje.
Nijs oer ynformaasjelekken en ynsiders kinne altyd fûn wurde op myn Telegram-kanaal "".
Boarne: www.habr.com