Redazione RHC : 1 Settembre 2021 16:22
Una violazione di sicurezza ha rivelato 700.000 risultati di test dell’antigene e dati personali dei pazienti online. È la piattaforma Francetest, che trasferisce i dati dalle farmacie al portale nazionale SI-DEP elencando i risultati positivi e negativi dei test.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Mediapart ha scoperto un database contenente 700.000 risultati dei test Covid insieme ai dati personali dei pazienti. Queste informazioni molto sensibili sarebbero state liberamente accessibili per diversi mesi a causa di una errata configurazione della piattaforma.
Per reazione, nella notte tra venerdì 27 agosto e sabato 28 agosto, parte del sito che ospita il database è stato reso “inaccessibile”, ha precisato Mediapart.
Per capire questo fatto, dobbiamo comprendere l’organizzazione e la gestione dei test di screening Covid-19 in Francia. Dal 13 maggio 2020, il governo ha istituito un sistema informativo di screening (SI-DEP) attraverso una piattaforma in cui vengono sistematicamente registrati i risultati dei test Covid-19. Autorizzate all’esecuzione di test antigenici, le farmacie sono tenute a inserire qualsiasi risultato (positivo o negativo).
Francetest, società fondata da Nathaniel Hayoun lo scorso gennaio, offre un servizio che facilita il trasferimento dei risultati dei test al file SI-DEP a fronte di un euro per trasmissione. In dettaglio, prima di eseguire un test, il paziente compila un modulo informativo. Questi dati così come l’esito del test vengono trascritti dall’operatore sanitario sulla piattaforma SI-DEP collegandosi alla propria tessera sanitaria (CPS). Francetest offre un servizio che automatizza l’inserimento dei risultati nel portale nazionale.
Sono stati interessati nome, sesso, data di nascita, codice fiscale, l’indirizzo e-mail, il numero di telefono e l’indirizzo postale. Anche il risultato del test (positivo o negativo) era liberamente accessibile.
Nathaniel Hayoun (fondatore di Francetest) riconosce l’esistenza di questa falla di sicurezza sostenendo di essere stato sopraffatto dal problema:
“Prima dell’arrivo della tessera sanitaria, avevamo relativamente pochi test. Dopo di che c’è stata una vera e propria esplosione difficile da gestire. Ho dovuto aggiornare il sito senza avere il tempo necessario”
Inoltre, ha detto di aver assunto un team di specialisti della sicurezza informatica per scoprire se la falla è stata sfruttata o meno dai criminali informatici.
Da parte sua, il Ministero della Solidarietà e della Salute afferma che
“la responsabilità ricade (…) sul manager dell’azienda” perché Francetest non è un sito autorizzato ad alimentare il SI-DEP. Infatti, spiega che esiste un elenco esaustivo di software autorizzato. Questi sono approvati a seguito di una procedura condotta dalla Direzione Generale della Sanità (DGS). Deve essere vietato l’uso di qualsiasi software non presente in questo elenco”
Ha ricordato il DGS in un’e-mail inviata il 29 agosto a tutti gli operatori sanitari.
Tuttavia, Francetest non compare in questo elenco. Quello che conferma Nathaniel Hayoun pur specificando di aver fatto richiesta al DGS “in fase di validazione”.
RedazioneI ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...
Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...
Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
