Aggiornamenti recenti Marzo 18th, 2024 2:00 PM
Ago 06, 2018 Marco Schiaffino Gestione dati, Leaks, News, Privacy, RSS 0
Il servizio di consulenza medica conserva i referti degli utenti in un server accessibile a chiunque. E dal sito si possono leggere i messaggi degli altri.
Se nel pantheon greco ci fosse un dio della privacy, non c’è alcun dubbio che in questo momento starebbe scagliando saette contro la sede di iCliniq, un servizio di consulenza medica con sede in India.
Come racconta The Register, che ha intervistato in esclusiva il ricercatore tedesco Matthias Gliwka, iCliniq è riuscita a mettere in piedi una vera galleria degli orrori della (ins)sicurezza in un ambito in cui la riservatezza dovrebbe essere uno dei pilastri del servizio.
Il sito, infatti, offre consulenza medica agli iscritti di tutto il mondo, che possono fare domande al personale medico che collabora con iCliniq inviando anche la loro documentazione.
Peccato che gli amministratori del sito abbiano pensato bene di conservare i documenti in questione (svariati tipi di esami, tra cui anche test per l’HIV) su un bucket S3 di Amazon configurato per consentire l’accesso a chiunque vi si colleghi.
Gliwka ha verificato il collegamento tra il sito e il server Amazon usando un metodo empirico ma efficace: si è registrato al sito e ha caricato dei documenti falsi che, dopo un attimo, ha ritrovato nel database su cloud.
Insomma: chiunque si collegasse al bucket in questione poteva scaricarsi circa 20.000 document riservati con informazioni sulle condizioni di salute degli utenti iCLiniq, presumibilmente con tanto di nome e cognome.
Ma non è tutto qui. Anche il sistema con cui sono gestite le richieste sul sito apre la strada ad abusi. Per visualizzare le domande fatte da altri utenti, infatti, basterebbe modificare l’URL che compare sulla pagina, inserendo un ID differente.
Qualcosa di molto simile a quello che era successo ai sistemi di The Space Cinema e di cui abbiamo reso conto in questo articolo, pubblicato dopo la segnalazione di un lettore di Security Info.
La decisione di Gliwka di rivolgersi alla stampa è stata dettata dal muro di gomma cui si è trovato di fronte il ricercatore, che avrebbe tentato inutilmente di contattare (più volte) iCliniq via email, senza però ricevere risposta.
L’intervento del quarto potere ha sortito il suo effetto e iCliniq, dopo essersi scusata per l’inerzia nel rispondere alla segnalazione, si è prodigata per mettere in sicurezza i dati esposti che, a suo dire (ma Gliwka ne dubita) “avrebbero riguardato solo utenti di nazionalità indiana”. Perché poi questo dovrebbe in qualche modo sminuire la gravità dell’episodio rimane un mistero.
Ott 03, 2022 0
Mar 04, 2022 0
Gen 28, 2022 0
Gen 27, 2022 0
Mar 18, 2024 0
Mar 18, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 15, 2024 0
Sempre più aziende stanno scegliendo Kubernetes (K8s) per...Mar 13, 2024 0
Negli ultimi anni il ruolo del CISO (Chief Information...Feb 29, 2024 0
Secondo la ricerca “Connecting the future of...Feb 28, 2024 0
Secondo l’ultimo sondaggio di Check Point, fornitore...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 18, 2024 0
F.A.C.C.T, agenzia russa di cybersecurity, ha denunciato...Mar 18, 2024 0
Il team di SonicWall Capture Labs ha scoperto di recente...Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 14, 2024 0
I ricercatori di FortiGuard Labs hanno scoperto una...Mar 14, 2024 0
I ricercatori di SaltSecurity hanno individuato due...