700.000 risultati dei test Covid francesi esposti in un database non protetto
Una violazione di sicurezza ha rivelato 700.000 risultati di test dell’antigene e dati personali dei pazienti online. È la piattaforma Francetest, che trasferisce i dati dalle farmacie al portale nazionale SI-DEP elencando i risultati positivi e negativi dei test.
Mediapart ha scoperto un database contenente 700.000 risultati dei test Covid insieme ai dati personali dei pazienti. Queste informazioni molto sensibili sarebbero state liberamente accessibili per diversi mesi a causa di una errata configurazione della piattaforma.
Per reazione, nella notte tra venerdì 27 agosto e sabato 28 agosto, parte del sito che ospita il database è stato reso “inaccessibile”, ha precisato Mediapart.
Per capire questo fatto, dobbiamo comprendere l’organizzazione e la gestione dei test di screening Covid-19 in Francia. Dal 13 maggio 2020, il governo ha istituito un sistema informativo di screening (SI-DEP) attraverso una piattaforma in cui vengono sistematicamente registrati i risultati dei test Covid-19. Autorizzate all’esecuzione di test antigenici, le farmacie sono tenute a inserire qualsiasi risultato (positivo o negativo).
Francetest, società fondata da Nathaniel Hayoun lo scorso gennaio, offre un servizio che facilita il trasferimento dei risultati dei test al file SI-DEP a fronte di un euro per trasmissione. In dettaglio, prima di eseguire un test, il paziente compila un modulo informativo. Questi dati così come l’esito del test vengono trascritti dall’operatore sanitario sulla piattaforma SI-DEP collegandosi alla propria tessera sanitaria (CPS). Francetest offre un servizio che automatizza l’inserimento dei risultati nel portale nazionale.
Sono stati interessati nome, sesso, data di nascita, codice fiscale, l’indirizzo e-mail, il numero di telefono e l’indirizzo postale. Anche il risultato del test (positivo o negativo) era liberamente accessibile.
Nathaniel Hayoun (fondatore di Francetest) riconosce l’esistenza di questa falla di sicurezza sostenendo di essere stato sopraffatto dal problema:
“Prima dell’arrivo della tessera sanitaria, avevamo relativamente pochi test. Dopo di che c’è stata una vera e propria esplosione difficile da gestire. Ho dovuto aggiornare il sito senza avere il tempo necessario”
Inoltre, ha detto di aver assunto un team di specialisti della sicurezza informatica per scoprire se la falla è stata sfruttata o meno dai criminali informatici.
Da parte sua, il Ministero della Solidarietà e della Salute afferma che
“la responsabilità ricade (…) sul manager dell’azienda” perché Francetest non è un sito autorizzato ad alimentare il SI-DEP. Infatti, spiega che esiste un elenco esaustivo di software autorizzato. Questi sono approvati a seguito di una procedura condotta dalla Direzione Generale della Sanità (DGS). Deve essere vietato l’uso di qualsiasi software non presente in questo elenco”
Ha ricordato il DGS in un’e-mail inviata il 29 agosto a tutti gli operatori sanitari.
Tuttavia, Francetest non compare in questo elenco. Quello che conferma Nathaniel Hayoun pur specificando di aver fatto richiesta al DGS “in fase di validazione”.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su
bug,
data breach e
minacce globali. Ogni contenuto è validato dalla nostra community di esperti come
Pietro Melillo,
Massimiliano Brolli,
Sandro Sana,
Olivia Terragni e
Stefano Gazzella.
Grazie alla sinergia con i nostri
Partner leader nel settore (tra cui
Accenture,
CrowdStrike,
Trend Micro e
Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa
peer-review tecnica.
