Aggiornamenti recenti Gennaio 25th, 2021 3:48 PM
Ago 06, 2018 Marco Schiaffino Gestione dati, Leaks, News, Privacy, RSS 0
Il servizio di consulenza medica conserva i referti degli utenti in un server accessibile a chiunque. E dal sito si possono leggere i messaggi degli altri.
Se nel pantheon greco ci fosse un dio della privacy, non c’è alcun dubbio che in questo momento starebbe scagliando saette contro la sede di iCliniq, un servizio di consulenza medica con sede in India.
Come racconta The Register, che ha intervistato in esclusiva il ricercatore tedesco Matthias Gliwka, iCliniq è riuscita a mettere in piedi una vera galleria degli orrori della (ins)sicurezza in un ambito in cui la riservatezza dovrebbe essere uno dei pilastri del servizio.
Il sito, infatti, offre consulenza medica agli iscritti di tutto il mondo, che possono fare domande al personale medico che collabora con iCliniq inviando anche la loro documentazione.
Peccato che gli amministratori del sito abbiano pensato bene di conservare i documenti in questione (svariati tipi di esami, tra cui anche test per l’HIV) su un bucket S3 di Amazon configurato per consentire l’accesso a chiunque vi si colleghi.
C’è anche una versione italiana del sito. Se avete il desiderio irrefrenabile di condividere documenti sensibili con un servizio che non li tutela in alcun modo, potete iscrivervi.
Gliwka ha verificato il collegamento tra il sito e il server Amazon usando un metodo empirico ma efficace: si è registrato al sito e ha caricato dei documenti falsi che, dopo un attimo, ha ritrovato nel database su cloud.
Insomma: chiunque si collegasse al bucket in questione poteva scaricarsi circa 20.000 document riservati con informazioni sulle condizioni di salute degli utenti iCLiniq, presumibilmente con tanto di nome e cognome.
Ma non è tutto qui. Anche il sistema con cui sono gestite le richieste sul sito apre la strada ad abusi. Per visualizzare le domande fatte da altri utenti, infatti, basterebbe modificare l’URL che compare sulla pagina, inserendo un ID differente.
Qualcosa di molto simile a quello che era successo ai sistemi di The Space Cinema e di cui abbiamo reso conto in questo articolo, pubblicato dopo la segnalazione di un lettore di Security Info.
La decisione di Gliwka di rivolgersi alla stampa è stata dettata dal muro di gomma cui si è trovato di fronte il ricercatore, che avrebbe tentato inutilmente di contattare (più volte) iCliniq via email, senza però ricevere risposta.
L’intervento del quarto potere ha sortito il suo effetto e iCliniq, dopo essersi scusata per l’inerzia nel rispondere alla segnalazione, si è prodigata per mettere in sicurezza i dati esposti che, a suo dire (ma Gliwka ne dubita) “avrebbero riguardato solo utenti di nazionalità indiana”. Perché poi questo dovrebbe in qualche modo sminuire la gravità dell’episodio rimane un mistero.
Gen 25, 2021 0
Gen 22, 2021 0
Gen 21, 2021 0
Gen 20, 2021 0
Dic 22, 2020 0
Nov 26, 2020 0
Nov 13, 2020 0
Nov 10, 2020 0
Nov 11, 2020 0
L’utilizzo di app basate su algoritmi di AI per la...Ott 22, 2020 0
Il nuovo scenario del panorama IT delinea priorità e...Ott 05, 2020 0
Cosa significa la sua istituzione, come è stato...Lug 01, 2020 0
Lo dice il Thales Data Threat Report 2020. Le aziende...Giu 26, 2020 0
Dopo aver manifestato l’intenzione di acquisire Panda...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Gen 25, 2021 0
I pirati avrebbero sfruttato un bug zero-day presente nel...Gen 22, 2021 0
I dati rubati dai cyber criminali attraverso una campagna...Gen 21, 2021 0
I contorni dell’attacco che ha preso di mira la...Gen 20, 2021 0
La società di sicurezza ha pubblicato le previsioni per...Gen 19, 2021 0
La società di sicurezza espande i suoi servizi al...Sul Dark Web sarebbe in vendita un database con i... Continua →