Un autre jour, une autre violation des données de santé: la publicité a laissé 3,1 millions de dossiers de patients exposés

Placer les données de millions de personnes dans une base de données mal configurée est une erreur que beaucoup trop d'organisations font. Cependant, lorsque l'exposition est découverte, les personnes fautives doivent s'assurer que le problème est correctement divulgué et que des mesures sont prises pour éviter de tels incidents à l'avenir. Malheureusement, comme peuvent en témoigner des chercheurs comme Bob Diachenko, ces personnes préfèrent parfois agir comme si de rien n'était.

Bob Diachenko a découvert une base de données exposant les informations personnelles de 3,1 millions de patients

Mardi, Bob Diachenko a publié un article sur LinkedIn concernant une base de données récemment exposée contenant les données personnelles d'environ 3,1 millions de personnes. Les informations divulguées comprenaient des noms, des adresses électroniques et physiques, des numéros de téléphone, ainsi que les institutions où les personnes touchées reçoivent un traitement médical. Il était clair que les données avaient été exposées par une organisation qui travaille dans le secteur de la santé et, après une enquête rapide, Diachenko s'est rendu compte que la base de données appartenait à Adit, une plate-forme qui aide les médecins et les hôpitaux à renforcer leur présence en ligne et à créer un système. qui permet aux patients de prendre des rendez-vous en quelques clics.

Dire que Bob Diachenko n'est pas étranger à ces types de fuites serait un euphémisme. Il a joué un rôle clé dans la découverte et la sécurisation de milliards d'enregistrements stockés dans des bases de données mal configurées. Une fois qu'il a su que les données appartenaient à Adit, il n'a pas perdu de temps à contacter l'organisation et à révéler la fuite.

Adit n'a rien fait pour sécuriser la base de données

Le moment où le cluster Elasticsearch a été exposé pour la première fois n'est pas tout à fait clair, mais cela s'est probablement produit dans les jours précédant le 12 juillet, car c'est à ce moment-là que le moteur de recherche BinaryEdge l'a indexé. Un jour plus tard, Bob Diachenko l'avait déjà découvert et avait contacté Adit. Malheureusement, pendant les neuf jours suivants, il n'a reçu aucune réponse.

C'est une mauvaise nouvelle pour quiconque a été touché par la fuite. Des expériences récentes ont montré que les bases de données qui fuient sont attaquées plusieurs fois par jour et que chaque alerte concernant un serveur mal sécurisé doit être traitée comme une urgence. Adit n'a pas fait cela, et nous ne pouvons que spéculer sur le nombre de cybercriminels ayant accédé aux données alors qu'elles étaient encore en ligne.

À un moment donné, un script automatisé a décidé de mettre fin à la fuite.

Le bot Meow a détruit les données d'Adit

Le 22 juillet, dix jours après l'indexation de la base de données par BinaryEdge, Diachenko a décidé de jeter un œil et de voir si Adit avait finalement réussi à la sécuriser. Ce n'était pas le cas.

Le cluster Elasticsearch était toujours en ligne et accessible de n'importe où dans le monde. Toutes les lignes à l'intérieur, cependant, ont été remplacées par des chaînes alphanumériques aléatoires avec le mot «miaou» en annexe. La base de données avait été ciblée par le bot Meow.

Bien qu'il soit apparu relativement récemment, le bot Meow a déjà réussi à détruire des milliers de bases de données. Il s'agit d'un script automatisé qui recherche les installations Elasticsearch et MongoDB qui sont connectées à Internet mais qui ne sont pas protégées par un mot de passe et corrompt les données qu'elles contiennent. Les informations en clair sont remplacées par des chaînes aléatoires qui se terminent toujours par "miaou", d'où le nom.

Les preuves suggèrent que le bot Meow ne vole pas les données avant de les corrompre et ne laisse aucune note de rançon. Très probablement, il a été créé par un hacker vigilant qui souhaite aider les organisations à sécuriser leurs données en leur enseignant une dure leçon de cybersécurité. Quoi qu'il en soit, le fait est que dans ce cas particulier, les données des patients n'étaient plus exposées après l'attaque.

Qui a été touché et à quoi doivent-ils faire attention?

Les médecins et les organisations de soins de santé qui utilisent Adit pourraient même ne pas être au courant de la fuite, ce qui signifie qu'ils n'ont aucun moyen d'informer leurs patients. Les personnes concernées pourraient en être informées si Adit décide de coopérer, mais, étant donné qu'elle n'a pas encore divulgué publiquement l'incident, cela ne semble pas très probable à ce stade.

Les données ne sont plus en ligne sous leur forme en clair, mais elles y sont restées un certain temps et il y a toutes les chances qu'elles soient tombées entre de mauvaises mains. Il est difficile de dire quelle partie des utilisateurs d'Adit a été touchée, donc si vous avez déjà interagi avec la plate-forme, vous devez faire plus attention aux escroqueries potentielles.