Svi vaši nalazi su javno dostupni

Ponovno pozdrav! Opet sam pronašao otvorenu bazu s medicinskim podacima za vas. Podsječam vas da su nedavno bile tri moje članke o ovoj temi: curenje osobnih podataka pacijenata i liječnika iz medicinske online usluge DOC+, ranjivost usluge „Doktor tu” i curenje podataka hitnih medicinskih stanica.

Ovaj put je u otvorenom pristupu bio server Elasticsearch s logovima medicinskog IT sustava mreže laboratorija „Centar molekularne dijagnostike“ (CMD, www.cmd-online.ru).

Odričemo se odgovornosti: sve informacije u nastavku objavljuju se isključivo u obrazovne svrhe. Autor nije imao pristup osobnim podacima trećih strana i kompanija. Informacije su preuzete ili iz otvorenih izvora ili su ih autoru dostavili anonimni доброжелатели.

Server je otkriven ujutro 1. travnja i nije mi se činilo nimalo smiješnim. Obavijest o problemu poslana je u CMD oko 10 sati ujutro (MSK) i oko 15:00 baza je postala nedostupna.

Prema podacima pretraživača Shodan, ovaj server prvi put je postao dostupan javnosti 09.03.2019. O tome, kako se otkrivaju otvorene baze podataka Elasticsearch, pisao sam poseban članak.

Iz logova se mogla dobiti prilično osjetljiva informacija, uključujući ime i prezime, spol, datume rođenja pacijenata, ime i prezime liječnika, cijenu istraživanja, podatke istraživanja, datoteke s rezultatima screening-a i još mnogo toga.

Primjer loga s rezultatima analiza pacijenta:

"Putovnica0423BF97FA5E-1DWW98675708386841791018.03.2019ROSS RU.13SK03.006012iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888////

Sve osjetljive podatke zamijenio sam simbolom „X“. U stvarnosti su svi bili pohranjeni u otvorenom obliku.

Iz takvih logova lako (dekodiranjem iz Base64) je moglo biti moguće dobiti PNG datoteke s rezultatima screening-a, već u prikladnom formatu za čitanje:

Ukupna veličina logova premašila je 400 MB i ukupno je sadržavala više od milijun zapisa. Jasno je da svaki zapis nije predstavljao podatke jedinstvenog pacijenta.

Službeni odgovor CMD-a:

Želimo vam zahvaliti na brzo dostavljenim informacijama 01.04.2019. o ranjivosti u bazi podataka za logiranje i pohranu grešaka Elasticsearch.

Na temelju tih informacija, naši zaposlenici u suradnji s relevantnim stručnjacima ograničili su pristup naznačenoj bazi. Greška u prijenosu povjerljivih informacija u tehničku bazu je ispravljena.

Prilikom razmatranja incidenta utvrđeno je da se pojava naznačene baze s greškom javila zbog ljudskog faktora. Pristup podacima brzo je zatvoren 01.04.2019.

Trenutno se provode aktivnosti od strane internih i angažiranih vanjskih stručnjaka za dodatnu reviziju IT infrastrukture u vezi s zaštitom podataka.

Naša organizacija je razvila poseban pravilnik o postupanju s osobnim podacima i sustavom razine odgovornosti osoblja.

Trenutna softverska infrastruktura predviđa korištenje baze Elasticsearch za pohranu grešaka. Kako bi se povećala pouzdanost rada nekih sustava, provest će se migracija odgovarajućih servera u podatkovni centar našeg partnera, u certifikirano softversko-hardware okruženje.

Zahvaljujemo vam na pravovremeno dostavljenim informacijama.

Vijesti o curenjima informacija i insajderima uvijek možete pronaći na mom Telegram kanalu „Curenja informacija».

Izvor: habr.com