Уязвимость в ПО для стоматологий раскрывала конфиденциальные данные тысяч пациентов

Компания Practice by Numbers, разработчик программного обеспечения для управления данными пациентов, используемого в тысячах стоматологических клиник, устранила критическую уязвимость. Эта брешь в безопасности раскрывала конфиденциальные медицинские записи пациентов на портале, входящем в комплект поставки программы, как стало известно TechCrunch.

Обнаружение уязвимости

О проблеме сообщил в TechCrunch один из пациентов, Джозеф Р. Кокс, который столкнулся с уязвимостью при просмотре собственных стоматологических записей на портале, предоставленном его клиникой.

Портал пациентов является частью программного обеспечения для управления стоматологическими клиниками, разработанного Practice by Numbers. По заявлению компании, её продукты используются более чем в 5000 стоматологических практик на территории США.

По словам Кокса, ошибка позволяла любому авторизованному пользователю портала, где хранятся медицинские документы и истории болезней пациентов, получить доступ к данным других людей. Он сообщил, что смог просмотреть чужие файлы из своего аккаунта, включая персональные данные, медицинские карты, фотодокументы, удостоверяющие личность, и другие сведения. Уязвимость также означала, что записи самого Кокса были столь же доступны для других пациентов.

Попытки связи и механизм эксплуатации

Кокс рассказал, что пытался уведомить компанию об уязвимости по электронной почте, но не получил ответа. В итоге он обратился в TechCrunch как к последнему средству, чтобы добиться устранения ошибки.

Как выяснилось, уязвимость было чрезвычайно легко использовать: любой пользователь с учетными данными для входа на портал Practice by Numbers мог ею воспользоваться. Кокс объяснил, что изменение порядкового номера документа в адресной строке браузера при загрузке одного из своих файлов на портале открывало доступ к записям других пациентов.

Более того, Кокс отметил, что номера документов в веб-адресе, по всей видимости, были последовательными. Это позволяло легко угадывать номера медицинских файлов других пользователей.

Кокс сообщил TechCrunch, что столкнулся с серьезными трудностями при попытке уведомить Practice by Numbers об ошибке, поскольку компания не предоставляла четкого канала для сообщения о проблемах безопасности. Указанный на сайте электронный адрес компании оказался нерабочим, а отправленные письма возвращались как недоставленные. Вместо этого Кокс отправил сообщение одному из основателей компании в LinkedIn, но последующие письма также остались без ответа.

Широкая проблема отчетности

Исправленная ныне проблема подчеркивает растущую тенденцию: обычные пользователи все чаще обнаруживают уязвимости в продуктах или на сайтах компаний, но не имеют понятного механизма для сообщения о них разработчикам.

Ранее подобные инциденты происходили и с другими компаниями:

• В начале апреля модный ритейлер Express устранил ошибку на своем сайте, которая позволяла любому получить доступ к деталям заказов и личной информации других клиентов. Это произошло после того, как пользователь выявил уязвимость, но не смог связаться с компанией.
• Аналогичный случай затронул Home Depot в декабре: исследователь безопасности пытался конфиденциально предупредить компанию о бреши, которая почти год предоставляла доступ к её внутренним системам, но его сообщения игнорировались до тех пор, пока TechCrunch не связался с Home Depot.

Реакция компании и планы

Учитывая, что уязвимость активно угрожала данным пациентов, TechCrunch уведомил Practice by Numbers о проблеме 13 апреля. Компания временно отключила свой пациентский портал для устранения ошибки и вернула его в онлайн 17 апреля.

Крис Лау, соучредитель и технический директор Practice by Numbers, сообщил TechCrunch, что компания устранила уязвимость. По его словам, на основании данных серверных логов, уведомления о возможном раскрытии информации были направлены менее чем 10 пациентам.

Компания заявила, что сотрудничает с пострадавшей стоматологической практикой для уведомления затронутых пациентов. Лау отметил, что до этого момента компания не обнаружила никаких свидетельств активности, связанной с уязвимостью, что позволяет предположить, что Кокс, вероятно, стал первым, кто её обнаружил.

Кокс подтвердил, что ошибка, судя по всему, исправлена.

На вопрос TechCrunch ни Лау, ни Рохит Гарг, соучредитель и президент Practice by Numbers, не смогли подтвердить, проходил ли пациентский портал компании аудит безопасности до запуска. Компании обычно проводят такие аудиты, чтобы убедиться, что их продукты соответствуют стандартам кибербезопасности и не содержат распространенных уязвимостей перед их использованием клиентами.

Хотя ни одно программное обеспечение не бывает полностью без ошибок, компании, работающие с конфиденциальной информацией, такой как медицинские данные, обычно заказывают сторонние проверки своего кода для выявления крупных уязвимостей.

На вопрос о планах Practice by Numbers обновить свой веб-сайт, чтобы исследователи безопасности могли сообщать об уязвимостях, например, через программу ответственного раскрытия, Гарг ответил, что компания действительно планирует добавить такую возможность для пользователей. Однако сроки реализации этих изменений не были названы.

Твитнуть