Brian Wethern, profissional do ramo IT, descobriu que a empresa Health Stream, dos EUA, deixou exposta on-line uma base de dados contendo informações de aproximadamente 10.000 médicos.
Wethern divulgou a sua descoberta ao Health Stream à dez dias atrás, e explicou que os dados estão alojados em um dos sites que já havia sido removido da Internet.
Os registos no ficheiro deixado on-line incluem os sobrenomes dos médicos ligados ao Health Stream’s Neonatal Resuscitation Program, os seus endereços de e-mail e números de ID.
O site que alojava os registos dos médicos foi colocado off-line logo após Wethern reportar a fuga de dados, mas mesmo se o site não estivesse acessível, os dados continuavam disponíveis para download em diferentes caches on-line.
Este tipo de incidentes de segurança é bastante comum e crítico hoje em dia. P.ex., o Health Stream está exposto neste momento a um ataque de phishing direcionado onde os ciber atacantes utizam os dados obtidos deste leak.
“What I found was a front-side database,” Wethern told El Reg. “I don’t need their passwords … because I have the front-side database.”
Wethern decidiu divulgar a fuga de dados para alertar sobre os riscos de tais incidentes e destacar a importância de reservar um orçamento adicional para o sector da segurança da informação.
“Hire a basic researcher, first and foremost. Allow your company to budget for these types of intrusions,” Wethern added.
“And before this all happens, make sure to have a data breach summary in place. Be current with bug bounty programs, own up to your mistakes, and honor the fact that security researchers can be good people out to do good things.”
A Health Stream ainda não fez qualquer comentário sobre este leak de informação do seus sistema.