Des milliers de données de patients ont été violées grâce à des seaux mal configurés Amazon S3

Malheureusement, les incidents dans lesquels les grandes et les petites entreprises laissent de grandes quantités de données personnelles exposées à Internet en raison de bases de données et de serveurs mal configurés se produisent tous les jours. Le mois dernier, par exemple, des chercheurs UpGuard et de DataBreaches.net ont découvert indépendamment deux compartiments Amazon S3 mal configurés qui ont exposé collectivement plus de 300 000 fichiers contenant toutes sortes enregistrements de soins de santé. Bien que les deux équipes n’aient pas coordonné leurs travaux et que les seaux aient été découverts à l’aide de méthodes différentes, il est vite devenu évident que les données appartenaient à la même société - Medico, Inc.

Plus de 90 Go de données personnelles et professionnelles ont été laissés de côté

De manière prévisible, de nombreux détails liés aux conditions médicales sans méfiance des patients ont été exposés dans les seaux. Il y avait des notes numérisées examen et de traitement, des ordonnances numérisées et une foule autres documents relatifs aux soins de santé. Cela, en soi, sonne plutôt mal. Ce est malheureusement que le début.

En plus des dossiers médicaux des personnes, Medico a également laissé de nombreuses feuilles de calcul concernant ses activités et celles de ses partenaires dans des compartiments mal configurés. Les experts UpGuard ont pas donné beaucoup de détails sur la sensibilité des données, mais ils ont noté que cela "pourrait être préjudiciable à entreprise ou à ses clients".

Il y avait également beaucoup de données sur les assurances, les documents Explication des prestations constituant une grande partie des informations exposées. Outre les informations personnelles et les coordonnées de contact, ces documents révèlent des antécédents médicaux et de traitement qui pourraient causer beaucoup de problèmes aux victimes en cas de maltraitance. Dans certains cas, les EOB ont également révélé des détails financiers, notamment les numéros de cartes de crédit et les CVV. Pour compléter le tableau, les compartiments mal configurés de Medico contenaient également des assignations à comparaître et des demandes de dossiers médicaux contenant des données encore plus sensibles, telles que les numéros de sécurité sociale.

Enfin, certaines informations identification et de communication internes de Medico ont été divulguées, ce qui nous donne un aperçu inquiétant de la manière dont la société traite la question de la sécurité des données.

Les compartiments S3 mal configurés ont révélé certaines des pratiques de sécurité des données moins que parfaites de Medico

En plus de toutes les données de santé, personnelles et professionnelles, les compartiments S3 incriminés ont également stocké des feuilles de calcul contenant les informations identification de connexion à des parties de infrastructure dorsale de Medico. Bien que cela puisse très bien être le moyen le plus rapide, sinon le plus pratique, de donner à tous les employés l’accès aux mots de passe importants, nous avons mentionné dans le passé que laisser ce type de données en clair n’était jamais une bonne idée. Vous pouvez maintenant voir pourquoi.

Il faut dire que les feuilles de calcul en question étaient protégées par un mot de passe qui, du moins en théorie, aurait empêché toute personne ayant trouvé les fichiers de les ouvrir. Malheureusement, les employés de Medico envoyaient également par courrier électronique les mots de passe ayant ouvert les feuilles de calcul et le service informatique de la société a conçu son système pour sauvegarder automatiquement toutes les communications internes dans les mêmes compartiments S3.. En autres termes, les mots de passe censés protéger les feuilles de calcul étaient stockés au même endroit que les feuilles de calcul elles-mêmes. Ils étaient disponibles en texte brut et étaient accessibles de n’importe où dans le monde.

GuardUp et DataBreaches.net ont tous deux déclaré que Medico avait corrigé les erreurs de configuration peu de temps après en avoir été avisé. Compte tenu de la nature sensible des données exposées, une réaction rapide était essentielle, et Medico mérite une tape dans le dos pour la sécurisation des seaux dès qu ils ont entendu parler de la fuite.

Cela étant dit, cela ne devrait pas être une excuse pour stocker des mots de passe dans des documents Microsoft Office hébergés dans le cloud. Cela ne devrait pas non plus servir excuse pour commettre des erreurs de configuration trop courantes .