דליפת נתונים (שיכולה הייתה לקרות, אבל לא התרחשה) מחברת טלרפואה

רק לפני יומיים אני כתבתי על Habré על האופן שבו השירות הרפואי המקוון הרוסי DOC+ הצליח להשאיר מסד נתונים עם יומני גישה מפורטים ברשות הציבור, שממנו ניתן היה לקבל נתונים של מטופלים ועובדי השירות. והנה תקרית חדשה, עם שירות רוסי נוסף המספק למטופלים התייעצות מקוונת עם רופאים - "דוקטור בקרבת מקום" (www.drclinics.ru).

מיד אכתוב שבזכות ההתאמה של צוות הדוקטור קרוב, הפגיעות בוטלה במהירות (שעתיים מרגע ההודעה בלילה!) וככל הנראה לא הייתה דליפה של נתונים אישיים ורפואיים. בניגוד לתקרית DOC+, שם אני יודע בוודאות שלפחות קובץ json אחד עם נתונים, בגודל 2 GB, הגיע ל"עולם הפתוח", והעמדה הרשמית נראית כך: "כמות קטנה של נתונים הפכה זמינה לציבור באופן זמני, מה שלא יכול להוביל להשלכות שליליות על העובדים והמשתמשים בשירות DOC+.".

איתי, כבעלים של ערוץ הטלגרם"דליפות מידע", מנוי אנונימי יצר קשר ודיווח על פגיעות אפשרית באתר www.drclinics.ru.

המהות של הפגיעות הייתה שבהכרת ה-URL והיותך במערכת תחת חשבונך, תוכל לצפות בנתונים של חולים אחרים.

כדי לרשום חשבון חדש במערכת Doctor Nearby, אתה למעשה צריך רק מספר טלפון נייד שאליו נשלחת הודעת אישור הודעה, כך שאף אחד לא יכול להיתקל בבעיות בכניסה לחשבון האישי שלו.

לאחר שהמשתמש נכנס לחשבון האישי שלו, הוא יכול מיד, על ידי שינוי כתובת האתר בשורת הכתובת של הדפדפן שלו, לצפות בדוחות המכילים נתונים אישיים של מטופלים ואף אבחנות רפואיות.

בעיה משמעותית הייתה שהשירות משתמש במספור רציף של דוחות וכבר יוצר כתובת URL מהמספרים האלה:

https://[адрес сайта]/…/…/40261/…

לכן, די היה להגדיר את המספר המינימלי המותר (7911) ואת המקסימום (42926 - בזמן הפגיעות) כדי לחשב את המספר הכולל (35015) של דיווחים במערכת ואפילו (אם הייתה כוונת זדון) להוריד כולם עם תסריט פשוט.

בין הנתונים הזמינים לצפייה היו: שם מלא של הרופא והמטופל, תאריכי לידה של הרופא והמטופל, מספרי טלפון של הרופא והמטופל, מין הרופא והמטופל, כתובות מייל של הרופא והמטופל, התמחות הרופא. , מועד הייעוץ, עלות הייעוץ ובמקרים מסוימים אף אבחון ( כהערה לדוח).

הפגיעות הזו בעצם דומה מאוד לזו שהייתה התגלה בדצמבר 2017 בשרת של ארגון המיקרופיננסים "זיימוגרד". לאחר מכן, באמצעות חיפוש, ניתן היה להשיג 36763 חוזים המכילים את נתוני הדרכונים המלאים של לקוחות הארגון.

כפי שציינתי כבר מההתחלה, עובדי Doctor Nearby הפגינו מקצועיות אמיתית ולמרות שהודעתי להם על הפגיעות בשעה 23:00 (שעון מוסקבה), הגישה לחשבון האישי שלי נסגרה מיד לכולם, ועד 1: 00 (שעון מוסקבה) פגיעות זו תוקנה.

אני לא יכול שלא לבעוט שוב ​​במחלקת יחסי הציבור של אותו DOC+ (New Medicine LLC). מצהיר"כמות קטנה של נתונים הפכה זמינה לציבור באופן זמני"הם מאבדים מעינינו את העובדה שעומדים לרשותנו נתוני "שליטה אובייקטיבית", כלומר מנוע החיפוש Shodan. כפי שצוין נכון בהערות לאותה מאמר - לפי שודן, תאריך הקיבוע הראשון של שרת ClickHouse הפתוח בכתובת ה-IP של DOC+: 15.02.2019/03/08 00:17.03.2019:09, תאריך הקיבוע האחרון: 52/ 00/40 XNUMX:XNUMX:XNUMX. גודל מסד הנתונים הוא כ-XNUMX GB.

היו 15 קיבועים בסך הכל:

15.02.2019 03:08:00
16.02.2019 07:29:00
24.02.2019 02:03:00
24.02.2019 02:50:00
25.02.2019 20:39:00
27.02.2019 07:37:00
02.03.2019 14:08:00
06.03.2019 22:30:00
08.03.2019 00:23:00
08.03.2019 14:07:00
09.03.2019 05:27:00
09.03.2019 22:08:00
13.03.2019 03:58:00
15.03.2019 08:45:00
17.03.2019 09:52:00

מההצהרה עולה כי באופן זמני זה קצת יותר מחודש, אבל כמות קטנה של נתונים זה בערך 40 גיגה-בייט. ובכן אני לא יודע…

אבל בואו נחזור ל"הרופא נמצא בקרבת מקום".

כרגע הפרנויה המקצועית שלי רודפת רק בעיה קטנה אחת שנותרה - לפי תגובת השרת ניתן לברר את מספר הדיווחים במערכת. כאשר אתה מנסה לקבל דוח מכתובת URL שאינה נגישה (אך הדוח עצמו זמין), השרת חוזר גישה נדחתה, וכאשר אתה מנסה לקבל דוח שאינו קיים, הוא חוזר לא נמצא. באמצעות מעקב אחר הגידול במספר הדיווחים במערכת לאורך זמן (פעם בשבוע, חודש וכו') ניתן להעריך את עומס השירות ואת היקף השירותים הניתנים. זה כמובן לא פוגע בנתונים האישיים של מטופלים ורופאים, אבל ייתכן שמדובר בהפרה של הסודות המסחריים של החברה.

מקור: www.habr.com