Miles de personas altamente sensibles detalles de saludUn nuevo estudio reveló que se podía acceder abiertamente a través de Internet a archivos de audio y vídeo de sesiones de terapia. El conjunto de información, asociado a una empresa de atención médica estadounidense, incluía más de 120.000 archivos y más de 1,7 millones de registros de actividad.
A finales de agosto, el investigador de seguridad Jeremiah Fowler descubrió el tesoro de información expuesta en una base de datos no segura vinculada al proveedor médico virtual Confidant Health. La empresa, que opera en cinco estados, entre ellos Connecticut, Florida y Texas, ayuda a brindar recuperación de la adicción al alcohol y las drogas, junto con tratamientos de salud mental y otros servicios.
Dentro de los 5,3 terabytes de datos expuestos Se trataba de detalles extremadamente personales sobre los pacientes que iban más allá de las sesiones de terapia personal. Los archivos a los que tuvo acceso Fowler incluían informes de varias páginas con las notas de admisión de los pacientes a psiquiatría y detalles de sus historiales médicos. “Al final de algunos de los documentos decía ‘datos de salud confidenciales’”, dice Fowler.
Por ejemplo, un expediente psiquiátrico de siete páginas, que parecía estar basado en una sesión de una hora con un paciente, detalla problemas con el alcohol y otras sustancias, incluyendo cómo el paciente afirmó haber tomado “pequeñas cantidades” de narcóticos del suministro de cuidados paliativos de su abuelo antes de que el familiar falleciera. En otro documento, una madre describe la relación “contenciosa” entre su marido y su hijo, incluyendo que mientras su hijo consumía estimulantes acusó a su pareja de abuso sexual.
Los documentos de salud expuestos incluyen algunas notas médicas sobre la apariencia, el estado de ánimo, la memoria, los medicamentos que toman y el estado mental general de las personas. Una hoja de cálculo que vio el investigador parece incluir una lista de los miembros de Confidant Health, la cantidad de citas que tuvieron, los tipos de citas y más.
“Hay traumas familiares y personales muy dolorosos y desgarradores”, dice Fowler, y agrega que algunos de los archivos eran audios y videos de sesiones con pacientes. “Es casi como si te revelaran los secretos más oscuros que le contaste a tu diario, y son cosas que nunca quieres sacar a la luz”.
Junto con los archivos médicos en la base de datos expuesta había documentos administrativos y de verificación, incluidas copias de licencias de conducir, tarjetas de identificación y tarjetas de seguro, dice Fowler. Los registros también contenían indicaciones de que algunos datos son recopilados por chatbots o inteligencia artificial, haciendo referencias a indicaciones y respuestas de IA a preguntas.
Confidant Health cerró rápidamente el acceso a la base de datos expuesta después de que Fowler se pusiera en contacto con la empresa, afirma. El investigador, que alerta a las empresas sobre los datos expuestos y no descarga ninguno de ellos, dice que una proporción de los 120.000 archivos que fueron expuestos tenían algún tipo de protección con contraseña. Fowler dice que revisó alrededor de 1.000 archivos para verificar la exposición y determinar la fuente de los datos para poder alertar a la empresa. Dice que es inusual que una base de datos expuesta incluya archivos tanto bloqueados como desbloqueados.
En una declaración a WIRED, el cofundador de Confidant Health, Jon Read, dice que la empresa se toma en serio las preocupaciones de seguridad y “toma[s] El problema es la naturaleza sensacionalista de los hallazgos. Read afirma que una vez que la empresa fue notificada de la “configuración incorrecta”, el acceso a los archivos expuestos se “arregló en menos de una hora”.
