Firma odpowiedzialna za wadliwy serwis szybko zareagowała na zgłoszenie i usunęła błąd
Teleporady w ostatnich kwartałach zyskały na popularności, rośnie liczba osób, które je odbywają, oraz znaczenie narzędzi do ich przeprowadzenia. Te ostatnie nie są jednak pozbawione wad, o czym informuje serwis niebezpiecznik.pl. Jeden z jego czytelników zgłosił problem, który znalazł na stronie Telemedi.co należącej do firmy Telemedicin. Służy ona do konsultacji z lekarzami przez telefon, wideo czy czat i obsługuje m.in. klientów PZU, Allianz i innych firm ubezpieczeniowych. Wykryty problem umożliwiał nieuprawnionym osobom poznanie danych osobowych pacjentów oraz treści ich rozmów z lekarzami.
Czytelnik zauważył, że w serwisie Telemedi.co występują błędy, z których można wyczytać nazwy punktów końcowych. Jeden z nich listował historię rozmów razem z numerem rozmówcy i UUID-em, czyli uniwersalnym unikalnym identyfikatorem. Można to było wykorzystać do pobierania nagrań rozmów. W ten sposób ktoś mógł poznać historię chorób pacjenta czy listę przyjmowanych przez niego leków.
Firma sprawnie zareagowała na zgłoszenie podatności, błąd szybko usunięto, a redakcja Niebezpiecznika otrzymała oświadczenie, z którego wynika, że problem nie dotyczył głównego systemu, a jednego z podsystemów. Telemedicin zapewnia, że dane pacjentów i dokumentacja medyczna nie były narażone na wyciek, a nieuprawnione osoby mogły jedynie zyskać dostęp do numerów telefonów oraz pobrać nagranie rozmowy pacjenta z lekarzem, o ile taka była zapisana. Prezes firmy zaznacza, że skala incydentu to niespełna 30 konsultacji. Telemedicin skontaktowało się w tej sprawie z partnerami biznesowymi oraz pacjentami, którzy mogli ucierpieć w wyniku wycieku.
W takich przypadkach szybka i zdecydowana reakcja jest bardzo istotna. W serwisie cashless.pl mogliście jakiś czas temu przeczytać o wpadce brokera ubezpieczeniowego Ent Broker. Na jego serwerze publicznie dostępne były dane klientów: od danych osobowych, numerów PESEL (także członków rodziny), adresów i danych kontaktowych, przez informacje dotyczące pojazdów i nieruchomości, aż po wyniki badań lekarskich. Chociaż szybko poinformowano o zaistniałej sytuacji podmioty, które były odpowiedzialne za bezpieczeństwo tych danych, to nie zareagowały one we właściwy sposób.
