- aktualizované 17. septembra o 15:40
Informatici zo slovenskej bezpečnostnej IT spoločnosti Nethemba poukázali na nízke zabezpečenie osobných údajov o testovaných osobách na COVID-19 v aplikácii Moje eZdravie, ktorá spadá pod Národné centrum zdravotníckych informácií (NCZI).
Viac o téme: Koronavírus
Koronavírus: Na Slovensku pribudli ďalšie desiatky nakazených, ich počet sa prehupol cez 6-tisíc
„V aplikácii Moje eZdravie sme identifikovali triviálnu zraniteľnosť, ktorá nám umožnila získať osobné informácie o viac ako 390 000 pacientoch, ktorí boli na Slovensku testovaní na COVID-19 (na demonštráciu sa nám podarilo získať osobné informácie o viac ako 130 000 pacientoch, z toho viac ako 1 600 COVID-19 pozitívnych),“ uviedla spoločnosť na svojej stránke.
Dostali sa k rodným aj telefónnym číslam
Informatikom sa podarilo získať mená, priezviská, rodné čísla, dátumy narodenia a dokonca aj miesta pobytu a telefónne čísla ľudí, ktorí na Slovensku podstúpili testovanie na koronavírus.
Koluje v Európe slabší koronavírus ako počas prvej vlny? Infektológ vyvracia fámu
Takisto sa ľahko dostali k informáciám o príznakoch, ktorými trpeli pozitívne testované osoby. Získali tiež prístup k údajom, kde a kedy sa dal človek otestovať a aký bol výsledok jeho testu.
Dáta neboli šifrované
Spoločnosť takýmto spôsobom poukázala na zraniteľnosť zabezpečenia osobných údajov a možný únik viac ako štvrť milióna osobných informácií. Podľa Nethemby sa k nim bolo možné dostať bez akejkoľvek autentifikácie a dáta neboli šifrované.
O probléme informovali až po oprave
Spoločnosť zároveň oznámila, že svoje zistenia zverejnila až po oprave zraniteľnosti, ktorú súčasne nahlásila „oficiálnym kanálom CSIRT“. K oprave malo dôjsť 16. septembra po 16-tej hodine.
NCZI incident prešetruje
„Národné centrum zdravotníckych informácií interne prešetruje okolnosti medializovaného bezpečnostného incidentu, ktorý údajne umožnil získať etickým hackerom osobné údaje ľudí testovaných na Covid19 z aplikácie „Moje ezdravie“. Dočasná aplikácia „Moje ezdravie“ je úplne nezávislá od systému elektronického zdravotníctva „ezdravie“, ktorého bezpečnosť nie je nijako spochybnená a nesúvisí s týmto prípadom,“ uviedla k prípadu hovorkyňa NCZI Veronika Beňadiková.
