Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Ennesimo server aperto: iCliniq espone 20.000 documenti medici

Ago 06, 2018 Marco Schiaffino Gestione dati, Leaks, News, Privacy, RSS 0

Il servizio di consulenza medica conserva i referti degli utenti in un server accessibile a chiunque. E dal sito si possono leggere i messaggi degli altri.

Se nel pantheon greco ci fosse un dio della privacy, non c’è alcun dubbio che in questo momento starebbe scagliando saette contro la sede di iCliniq, un servizio di consulenza medica con sede in India.

Come racconta The Register, che ha intervistato in esclusiva il ricercatore tedesco Matthias Gliwka, iCliniq è riuscita a mettere in piedi una vera galleria degli orrori della (ins)sicurezza in un ambito in cui la riservatezza dovrebbe essere uno dei pilastri del servizio.

Il sito, infatti, offre consulenza medica agli iscritti di tutto il mondo, che possono fare domande al personale medico che collabora con iCliniq inviando anche la loro documentazione.

Peccato che gli amministratori del sito abbiano pensato bene di conservare i documenti in questione (svariati tipi di esami, tra cui anche test per l’HIV) su un bucket S3 di Amazon configurato per consentire l’accesso a chiunque vi si colleghi.

C’è anche una versione italiana del sito. Se avete il desiderio irrefrenabile di condividere documenti sensibili con un servizio che non li tutela in alcun modo, potete iscrivervi.

Gliwka ha verificato il collegamento tra il sito e il server Amazon usando un metodo empirico ma efficace: si è registrato al sito e ha caricato dei documenti falsi che, dopo un attimo, ha ritrovato nel database su cloud.

Insomma: chiunque si collegasse al bucket in questione poteva scaricarsi circa 20.000 document riservati con informazioni sulle condizioni di salute degli utenti iCLiniq, presumibilmente con tanto di nome e cognome.

Ma non è tutto qui. Anche il sistema con cui sono gestite le richieste sul sito apre la strada ad abusi. Per visualizzare le domande fatte da altri utenti, infatti, basterebbe modificare l’URL che compare sulla pagina, inserendo un ID differente.

Qualcosa di molto simile a quello che era successo ai sistemi di The Space Cinema e di cui abbiamo reso conto in questo articolo, pubblicato dopo la segnalazione di un lettore di Security Info.

La decisione di Gliwka di rivolgersi alla stampa è stata dettata dal muro di gomma cui si è trovato di fronte il ricercatore, che avrebbe tentato inutilmente di contattare (più volte) iCliniq via email, senza però ricevere risposta.

L’intervento del quarto potere ha sortito il suo effetto e iCliniq, dopo essersi scusata per l’inerzia nel rispondere alla segnalazione, si è prodigata per mettere in sicurezza i dati esposti che, a suo dire (ma Gliwka ne dubita) “avrebbero riguardato solo utenti di nazionalità indiana”. Perché poi questo dovrebbe in qualche modo sminuire la gravità dell’episodio rimane un mistero.

Condividi l'articolo