Einer neuen Studie zufolge waren Tausende sensibler medizinischer Daten, darunter Audio- und Videoaufzeichnungen von Therapiesitzungen, online zugänglich. Der Informationscache eines US-amerikanischen Gesundheitsunternehmens umfasste mehr als 120.000 Dateien und mehr als 1,7 Millionen Aktivitätsprotokolle.
Ende August entdeckte der Sicherheitsforscher Jeremiah Fowler eine Fülle von Informationen in einer ungesicherten Datenbank, die mit dem virtuellen medizinischen Anbieter Confidant Health verknüpft ist. Das Unternehmen, das in fünf Bundesstaaten tätig ist, darunter Connecticut, Florida und Texas, hilft bei der Bereitstellung von Alkohol- und Drogenbehandlungen sowie bei der Behandlung psychischer Erkrankungen und anderen Dienstleistungen.
Unter den 5,3 Terabyte an offengelegten Daten befanden sich äußerst persönliche Daten über Patienten, die über persönliche Therapiesitzungen hinausgingen. Zu den von Fowler eingesehenen Unterlagen gehörten mehrseitige Berichte über die psychiatrischen Einweisungen der Personen und Einzelheiten zu ihrer Krankengeschichte. „Am Ende einiger Dokumente stand ‚vertrauliche medizinische Informationen‘“, sagt Fowler.
Beispielsweise werden in einer siebenseitigen psychiatrischen Aufnahmeakte, die offenbar auf einer einstündigen Sitzung mit einem Patienten basiert, detailliert Probleme im Zusammenhang mit Alkohol und anderen Substanzen aufgeführt, darunter auch, wie der Patient behauptete, „geringe Mengen“ Betäubungsmittel eingenommen zu haben die Hospizbedarfsartikel seiner Großeltern vor dem Tod seiner Großeltern. In einem anderen Dokument beschreibt eine Mutter die „konflikthafte“ Beziehung zwischen ihrem Mann und ihrem Sohn, einschließlich der Tatsache, dass ihr Sohn, während er Stimulanzien nahm, seine Partnerin des sexuellen Missbrauchs beschuldigte.
Die ausgestellten medizinischen Dokumente umfassen medizinische Notizen über das Aussehen, die Stimmung, das Gedächtnis, die Medikamente und den allgemeinen Geisteszustand der Menschen. Eine vom Forscher eingesehene Tabelle scheint die Mitglieder von Confidant Health, die Anzahl der Termine, die sie hatten, die Art der Termine und mehr aufzulisten.
„Es gibt einige herzzerreißende und wirklich schmerzhafte familiäre und persönliche Traumata“, sagt Fowler und fügt hinzu, dass es sich bei einigen der Dateien um Audioaufzeichnungen und Videos von Sitzungen mit Patienten handelte. „Es ist fast so, als würde man die dunkelsten Geheimnisse enthüllen, die man in seinem Tagebuch erzählt hat, und das sind Dinge, die man niemals preisgeben möchte. »
Zusätzlich zu den Krankenakten enthielt die offengelegte Datenbank Verwaltungs- und Verifizierungsdokumente, darunter Kopien von Führerscheinen, Personalausweisen und Versicherungskarten, sagt Fowler. Die Protokolle enthielten auch Hinweise darauf, dass einige Daten von Chatbots oder künstlicher Intelligenz erfasst werden, was sich auf Eingabeaufforderungen und KI-Antworten auf Fragen bezog.
Confidant Health sperrte schnell den Zugriff auf die offengelegte Datenbank, nachdem Fowler das Unternehmen kontaktiert hatte, sagte er. Der Forscher, der Unternehmen auf offengelegte Daten aufmerksam macht und diese nicht herunterlädt, behauptet, dass einige der 120.000 offengelegten Dateien passwortgeschützt waren. Fowler sagt, er habe etwa 1.000 Dateien überprüft, um sie auf Offenlegung zu prüfen und die Quelle der Daten zu ermitteln, damit er das Unternehmen benachrichtigen könne. Er fügt hinzu, dass es ungewöhnlich sei, dass eine offengelegte Datenbank sowohl gesperrte als auch entsperrte Dateien enthalte.
In einer Erklärung gegenüber WIRED sagte Jon Read, Mitbegründer von Confidant Health, das Unternehmen nehme Sicherheitsbedenken ernst und „erwägt[s] Das Problem hängt mit der Aufsehen erregenden Natur der Ergebnisse zusammen. Read behauptet, dass der Zugriff auf die offengelegten Dateien „in weniger als einer Stunde korrigiert“ wurde, nachdem das Unternehmen über die „falsche Konfiguration“ informiert wurde.