I dati dei pazienti di AstraZeneca sono rimasti online a causa di credenziali presenti su GitHub

Uno specialista della sicurezza delle informazioni ha scoperto su GitHub le credenziali per il server interno del colosso farmaceutico AstraZeneca. Secondo lui, queste informazioni sono state pubblicate accidentalmente dallo sviluppatore un anno fa e hanno dato accesso a dati riservati dei pazienti.

Mossab Hussein, responsabile della sicurezza presso la startup di sicurezza informatica SpiderSilk, ha dichiarato a TechCrunch di aver scoperto accidentalmente le credenziali su GitHub dall’ambiente cloud di test di Salesforce, che le aziende utilizzano spesso per gestire i clienti. 

Ma in questo caso, l’ambiente di test conteneva informazioni su alcuni pazienti di AstraZeneca. Nello specifico, i dati sono stati collegati alle app di AZ&ME che offrono sconti ai pazienti che necessitano di farmaci.

“Questa non è la prima volta che vediamo trapelare le credenziali di GitHub a causa di un errore umano. Sta succedendo dappertutto”, ha detto Hussain a TechCrunch. “Il pericolo di tali perdite accidentali è che accadano casualmente e il percorso di sfruttamento è spesso molto semplice (ovvero, rende più facile effettuare crimini agli aggressori).”

I giornalisti di TechCrunch hanno informato AstraZeneca delle credenziali dimenticate su GitHub e nel giro di poche ore il repository non è più disponibile. Un portavoce di AstraZeneca ha dichiarato alla pubblicazione:

“La protezione dei dati personali è estremamente importante per noi e ci impegniamo a rispettare gli standard più elevati e il rispetto di tutte le normative e leggi applicabili. A causa di un errore dell’utente, alcuni dati sono stati temporaneamente resi disponibili sulla piattaforma per sviluppatori. Abbiamo interrotto l’accesso a questi dati subito dopo essere stati informati della fuga di informazioni. Attualmente stiamo indagando sulla causa principale e stiamo valutando i nostri obblighi normativi”.

Allo stesso tempo, un rappresentante dell’azienda ha rifiutato di dire per quale motivo i dati del paziente sono stati archiviati in un ambiente di test visto che AstraZeneca dispone di mezzi tecnici (ad esempio registri) che aiutano a determinare se qualcuno ha avuto accesso a queste informazioni e cosa i dati sono stati rubati o se si è verificata una perdita.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.