数千件の記録、PIIを含みオンラインに露出
- ニュージャージー州拠点のヘルステック企業 ESHYFT のデータベースが、パスワード保護なしで露出していた。同社はモバイルアプリプラットフォームを通じて医療施設と看護師をつないでいる。
- 露出したデータベースには86,341件の記録が含まれ、総容量は108.8GBだった。データベースには、ユーザーのプロフィール写真、勤務スケジュールのログ、専門資格証、勤務契約書、履歴書などが含まれていた。
- 一部の文書には、診断、処方箋、治療情報を含む医療文書もあり、HIPAA規制に違反している可能性がある。
- このデータベースはESHYFTの所有とみられ、発見後に同社へ通知が送られ、1か月後にアクセスが制限された。
ESHYFTの役割と重要性
- ESHYFTは医療施設と看護師をつなぐモバイルプラットフォームを提供しており、29州で運営されている。
- このアプリは、看護師が自分の予定に合った勤務を選べるようにし、医療施設には検証済みの看護人材を提供する。
- Google Play Storeで50,000回以上ダウンロードされている。
個人情報露出のリスク
- 個人識別情報（PII）、給与情報、勤務履歴の露出は、個人と雇用機関の双方に深刻なリスクと脆弱性をもたらしかねない。
- 身分証明書や住所などの情報が組み合わされると、サイバー犯罪者が身元盗用や金融詐欺を働く可能性がある。
- 露出した情報はフィッシングキャンペーンに悪用される可能性があり、被害者から追加の個人情報や金融情報を引き出す手口に使われうる。
セキュリティ強化の推奨事項
- ヘルステック企業と医療ソフトウェア提供事業者は、データ保護と不正アクセス防止のために積極的なサイバーセキュリティ対策を講じる必要がある。
- 機微データの暗号化プロトコルを義務化し、内部インフラに対する定期的なセキュリティ監査が必要である。
- 機微データは可能な限り匿名化し、使用されていないデータには有効期限を設定して保存を制限すべきである。
- 多要素認証（MFA）を要求し、ユーザー資格情報が露出しても容易にアクセスできないようにすべきである。
- データ漏えい対応計画と、セキュリティインシデント報告のための専用コミュニケーションチャネルを整備すべきである。
結論
- データ漏えいが発生した場合、影響を受ける可能性のあるすべての人に対して、迅速かつ責任ある通知を行うべきである。
- ユーザーはフィッシングの試みを見分ける方法について教育を受けるべきであり、これはサービス提供者とユーザー双方に利益をもたらす。
- このレポートは教育目的で作成されたものであり、実際のデータ完全性の損傷を反映するものではない。
1件のコメント
Hacker Newsのコメント