Miljoenen mensen in India hebben mogelijk te maken gehad met een schending van hun medische gegevens

Volgens een nieuwsbericht van TechCrunch heeft dr. Lal PathLabs, een in Delhi gevestigde zorgverlener en medisch testlaboratorium, maandenlang een gapend gat in zijn database achtergelaten. Een openbaar toegankelijke database stond maandenlang stil, zonder enige vorm van bescherming.

Het laboratorium is een van de grootste in zijn soort in heel India, met naar schatting 70.000 patiënten die dagelijks worden bediend. Dit betekent natuurlijk dat het ook een van de grootste testcentra voor Covid-19 in het land is.

Het bleek dat Dr. Lal PathLabs een groot aantal enorme spreadsheets vol persoonlijke patiëntgegevens bijhield op een Amazon Web Services-opslagemmer, maar er was geen bescherming en geen wachtwoord, wat in feite betekent dat iedereen toegang had tot alle records.

De lekkende database werd ontdekt door beveiligingsonderzoeker Sami Toivonen die het probleem al in september 2020 meldde bij het laboratorium. Volgens Toivonen's interview met TechCrunch werd de toegang tot de lekkende opslag afgesneden, maar kreeg de onderzoeker geen antwoord van het laboratorium.

Volgens Toivonen bevatten de gegevens in de blootgestelde spreadsheets miljoenen individuele patiëntendossiers, inclusief dagelijkse testresultaten. De informatie in de databases bestond uit patiëntnamen, geboortedata, thuisadressen, mobiele nummers en verschillende uitgevoerde tests, wat een tangentiële bron van informatie is voor de gezondheidstoestand van de persoon. Sommige aanvullende details over bepaalde patiënten vermeldden ook of ze al dan niet Covid-19-positief zijn.

Onderzoekers verrast door Lax Database Security

Toivonen zei dat hij "overweldigd" was door de ontdekking en het feit dat een zo grote organisatie die te maken heeft met persoonlijke informatie die zo gevoelig is, een enorme hoeveelheid persoonlijke gegevens van patiënten vrijwel volledig onbeschermd had achtergelaten.

Toen TechCrunch contact opnam met het laboratorium, kregen ze een formeel antwoord dat er een onderzoek gaande was, maar de laboratoriumvertegenwoordiger beantwoordde nooit andere vragen en vermeldde niet of de Indiase zorgverlener al dan niet van plan is informatie over de blootstelling aan de database aan zijn patiënten bekend te maken.