Wrażliwe dane pacjentów 90 polskich szpitali w publicznie dostępnym katalogu (aktualizacja)

Aktualizacja, 13:45, Otrzymaliśmy oficjalne stanowisko Zarządu MedHub sp. z o.o., producenta systemu Eskulap. MedHub potwierdza, że problem dotyczy systemu obsługi zgłoszeń serwisowych firmy Konsultant IT, nie helpdesku systemu Eskulap. Oznacza to, że upublicznienie danych pacjentów i szpitali dotyczy tylko tych placówek, które do obsługi helpdesku sytemu Eskulap korzystały z usług firmy Konsultant IT.

Wyciek wrażliwych danych około 50 tys. pacjentów ze szpitalaw Kole był największym jak do tej pory takim incydentem wPolsce. Ujawniony właśnie wyciek danych z systemu informatycznegoEskulap pod tym względem liczby poszkodowanych wydaje się nie byćtak poważny, ale z racji popularności tego oprogramowania nie możnago zignorować – narażonych zostało nawet 90 korzystających zEskulapa szpitali w całej Polsce.

Eskulap to platforma informatyzacji szpitali autorstwa spółki medhub, wdrażana przez firmę Konsultant IT. W skład systemuwchodzą zarówno moduły do obsługi ruchu pacjentów (rejestracja,oddziały, izba przyjęć), jak i obsługi poszczególnych jednostekszpitala (blok operacyjny, stacja dializ, pogotowie ratunkowe,laboratoria analityczne, pracownie bakteriologiczne,histopatologiczne, cytostatyczne). Zainteresowane placówkikorzystają też z modułów gospodarki lekiem, magazynu i żywienia.Producent chwali się, że jego system jako jedyny przeszedł testyakceptacyjne organizowane przez Bank Światowy.

Jak to każdy system informatyczny, Eskulap miał oczywiściebłędy, pojawiały się też u personelu medycznego problemy iniejasności związane z obsługą modułów, Jak każdy porządnysystem informatyczny, Eskulap miał więc swój helpdesk, gdziezainteresowani mogli pozostawiać swoje zgłoszenia. Zgłoszeniom tymmogły towarzyszyć załączniki, w tym zrzuty ekranu, mającedokumentować odkryty problem.

Właśnie o te załączniki poszło. W zeszłym tygodniu jeden zczytelników Niebezpiecznika poinformował, że każdy możepodejrzeć pliki załączane do zgłoszeń – znajdują się one napublicznie dostępnym serwerze, w katalogu z uprawnieniami odczytudla każdego.

Wśród tych plików były zarówno dokumenty, jak i zrzuty ekranuz widokami modułów, zawierającymi wrażliwe dane. Zakrestematyczny dostępnych tak danych całkiem spory: historie choroby,karty badań, orzeczenia lekarskie, kosztorysy, dane dostępoweszpitalnych VPN-ów, wyeksportowane bazy danych… na pewno nic, copowinno być publicznie dostępne. Szczególnie gdy chodzi np. oszpitale psychiatryczne.

Niebezpiecznik skontaktował się z Konsultantem IT – i otrzymałbardzo ciekawe odpowiedzi od jej prezesa, p. Tomasza Kuncewicza.Stwierdził on, że to pierwszy w historii firmy incydentniewłaściwego zabezpieczenia informacji, wynikający z błędu wmigracji oprogramowania. Helpdesk został bowiem stworzony przezzewnętrzną firmę DIMIMO, ona też sprawowała nad nim opiekę.Podczas migracji helpdesku nie zauważono, że kontrolujący dostępdo katalogów plik .htaccess nie jest obsługiwany w nowejkonfiguracji webserwera. Niestety kontrola zabezpieczeń niewychwyciła tej usterki.

Wyjaśnienie dobre, tyle że nie wszystko wyjaśnia. Sęk w tym,że jak twierdzi DIMIMO, do migracji doszło w październiku br.Tymczasem informator Niebezpiecznika utrzymuje, że dane z Eskulapabyły publicznie dostępne od 2015 roku, a wśród nich nie tylkodokumenty i zrzuty nadsyłane do helpdesku, ale też aktualizacjesamego systemu. Jak pisze odkrywca: dziura jest bardzo stara napewno już niejeden bot ją znalazł.Co więcej, przyrost ilości danych był bardzo duży, nawet pokilkadziesiąt plików dziennie. Czy na pewno więc chodzi o migracjęhelpdesku sprzed dwóch miesięcy? Co gorsze, DIMMO przyznaje, żemogło dojść do masowego pobierania plików, obecnie analizowane sąlogi.

Z listą zagrożonych tym wyciekiemplacówek służby zdrowia zapoznacie się w artykuleNiebezpiecznika. Nasuwają się nam w związku z tą sprawą dwawnioski:

Nie ma co liczyć na zapewnieniebezpieczeństwa danym wrażliwym inaczej, jak poprzez budowęsystemów informatycznych odpornych na ludzką głupotę. Ta jestbowiem jedną z najpotężniejszych sił we wszechświecie. Musimywięc zawsze zakładać to, co najgorsze. System przetwarzającywrażliwe dane medyczne po prostu nie może oferować możliwościwysłania takich danych gdziekolwiek poza zamknięty obiegdokumentów, a już na pewno nie powinien akceptować zrzutówekranów, które później trafiają do nieuprawnionych przecież dozapoznawania się z dokumentacją medyczną pracowników firminformatycznych.

Póki co placówkom medycznym korzystającym z Eskulapa możemy zalecić jak najszybszą zmianę wszystkich używanych haseł – należy założyć najgorsze i traktować w takich sytuacjach systemy informatyczne jako przejęte przez strony trzecie.