搜索

[15661] 2020-07-28_印度数十万患者医疗影像信息存在泄露风险

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-28_印度数十万患者医疗影像信息存在泄露风险 印 度 数 十 万 患 者 医 疗 影 像 信 息 存 在 泄 露 风 险 c l o u d s   F r e e B u f   2 0 2 0 - 0 7 - 2 8 本 文 讲 述 了 作 者 以 互 联 网 开 源 查 找 方 式 ， 发 现 了 印 度 各 地 暴 露 在 互 联 网 上 的 数 十 万 患 者 医 疗 影 像 数 据 和 个 人 隐 本 文 讲 述 了 作 者 以 互 联 网 开 源 查 找 方 式 ， 发 现 了 印 度 各 地 暴 露 在 互 联 网 上 的 数 十 万 患 者 医 疗 影 像 数 据 和 个 人 隐 私 信 息 ， 并 且 ， 可 以 针 对 其 中 一 些 数 据 信 息 执 行 任 意 查 看 、 编 辑 和 删 除 等 操 作 。 这 些 患 者 数 据 信 息 存 在 严 重 泄 私 信 息 ， 并 且 ， 可 以 针 对 其 中 一 些 数 据 信 息 执 行 任 意 查 看 、 编 辑 和 删 除 等 操 作 。 这 些 患 者 数 据 信 息 存 在 严 重 泄 露 风 险 。 露 风 险 。 数 月 之 前 ， 我 在 T e c h c r u n c h 上 看 到 了 一 篇 名 为 “ 十 亿 张 暴 露 在 网 的 医 学 影 像 信 息 “ （ A   b i l l i o n   m e d i c a l   i m a g e s   a r e e x p o s e d   o n l i n e ） ， 其 中 提 到 了 医 疗 部 门 所 属 的 医 学 影 像 服 务 器 因 缺 乏 安 全 配 置 而 导 致 的 影 像 数 据 泄 露 。 这 篇 文 章 引 起 了 我 的 兴 趣 ， 以 此 为 契 ， 我 想 深 入 进 行 一 些 测 试 ， 尤 其 是 针 对 印 度 的 一 些 医 疗 机 构 。 开 始 之 前 ， 我 们 先 来 了 解 一 下 两 个 重 要 的 医 学 概 念 名 词 。 医 学 数 字 成 像 和 通 信 医 学 数 字 成 像 和 通 信 - D I C O M 医 学 数 字 成 像 和 通 信 标 准 （ D i g i t a l   I m a g i n g   a n d   C o m m u n i c a t i o n s   i n   M e d i c i n e ， D I C O M ） ， 是 医 学 图 像 和 相 关 信 息 的 国 际 标 准 - I S O   1 2 0 5 2 ， 它 定 义 了 能 满 足 临 床 需 要 的 可 用 于 数 据 交 换 的 医 学 图 像 格 式 ， 且 被 广 泛 应 用 于 放 射 医 疗 、 心 血 管 成 像 以 及 放 射 诊 疗 诊 断 设 备 （ X 射 线 ， C T ， 核 磁 共 振 ， 超 声 等 ） ， 并 且 在 眼 科 和 牙 科 等 其 它 医 学 领 域 得 到 越 来 越 深 入 广 泛 的 应 用 。 在 数 以 万 计 的 在 用 医 学 成 像 设 备 中 ， D I C O M 是 部 署 最 为 广 泛 的 医 疗 信 息 标 准 之 一 ， 当 前 大 约 有 百 亿 级 符 合 D I C O M 标 准 的 医 学 图 像 用 于 临 床 使 用 。 医 学 数 字 成 像 和 通 信 标 准 形 成 的 医 学 影 像 数 据 会 存 储 在 一 个 单 独 的 D I C O M 文 件 中 ， 方 便 其 他 医 疗 人 员 进 行 信 息 查 看 和 数 据 共 享 。 当 然 ， 需 要 一 种 D I C O M 查 看 器 才 能 查 看 D I C O M 文 件 ， 市 面 和 网 络 上 有 多 种 软 件 可 以 实 现 这 种 功 能 ， 打
个 比 方 来 说 ， 可 以 把 D I C O M 文 件 认 为 是 一 些 普 通 的 照 片 图 像 。 影 像 归 档 和 通 信 系 统 影 像 归 档 和 通 信 系 统 - P A C S 影 像 归 档 和 通 信 系 统 ， P i c t u r e   A r c h i v i n g   a n d   C o m m u n i c a t i o n   S y s t e m s ， 它 是 应 用 在 医 院 影 像 方 面 系 统 ， 主 要 任 务 就 是 把 日 常 产 生 的 各 种 医 学 影 像 （ 包 括 核 磁 ， C T ， 超 声 ， 各 种 X 光 机 ， 各 种 红 外 仪 、 显 微 仪 等 设 备 产 生 的 图 像 ） 通 过 各 种 接 口 （ 模 拟 ， D I C O M ， 网 络 ） 以 数 字 化 的 方 式 海 量 保 存 起 来 ， 当 需 要 的 时 候 在 一 定 的 授 权 下 能 够 很 快 的 调 回 使 用 ， 同 时 增 加 一 些 辅 助 诊 断 管 理 功 能 。 它 在 各 种 影 像 设 备 间 传 输 数 据 和 组 织 存 储 数 据 具 有 重 要 作 用 。 可 以 把 P A C S 系 统 想 像 成 一 个 用 以 储 存 图 像 的 硬 盘 存 储 系 统 ， 如 下 所 示 ： 发 现 泄 露 的 医 学 影 像 数 据 发 现 泄 露 的 医 学 影 像 数 据 这 里 ， 针 对 P A C S 系 统 中 的 医 学 影 像 信 息 ， 主 要 有 两 种 发 现 方 式 ： 1 、 通 过 、 通 过 S H O D A N 等 查 找 工 具 发 现 直 接 曝 露 在 网 的 等 查 找 工 具 发 现 直 接 曝 露 在 网 的 P A C S 系 统 系 统
2 0 2 0 年 2 月 1 1 日 ， 我 通 过 S H O D A N 测 试 发 现 ， 印 度 地 区 曝 露 在 互 联 网 上 且 可 直 接 访 问 的 P A C S 系 统 有 3 0 5 个 ， 其 中 的 1 9 3 个 P A C S 系 统 无 任 何 密 码 或 其 它 验 证 措 施 。 要 访 问 这 些 曝 网 且 无 验 证 措 施 的 P A C S 系 统 ， 只 需 知 道 它 的 具 体 I P 地 址 ， 然 后 使 用 D I C O M 检 索 和 查 看 软 件 进 行 连 接 即 可 。 以 下 是 印 度 各 地 此 类 P A C S 系 统 的 统 计 信 息 ， 在 近 四 个 月 的 时 间 内 ， 有 些 系 统 不 能 访 问 ， 但 也 有 新 的 系 统 出 现 ， 其 中 ， 孟 买 地 区 的 此 类 系 统 较 多 ， 达 3 9 个 。 截 至 2 0 2 0 年 6 月 4 日 ， 通 过 这 些 系 统 ， 我 可 以 在 线 访 问 获 取 1 , 5 1 , 6 4 6 多 份 的 患 者 影 像 信 息 ， 某 些 时 间 段 内 的 数 据 量 甚 至 比 这 个 还 多 。 而 且 每 张 患 者 影 像 数 据 都 包 含 了 数 张 小 的 影 像 图 片 ， 所 以 如 果 单 独 来 算 的 话 ， 影 像 图 片 数 据 量 更 高 。 这 些 泄 露 的 患 者 影 像 信 息 最 早 可 追 溯 到 2 0 1 2 年 ， 但 在 今 年 6 月 4 日 当 天 ， 在 曝 网 的 医 疗 项 目 中 突 然 增 加 了 2 0 0 多 项 记 录 ， 如 下 ： 其 中 涉 及 到 了 诸 如 患 者 姓 名 、 年 龄 、 出 生 日 期 、 患 者 编 号 、 转 诊 医 生 、 主 治 医 生 、 医 学 机 构 名 称 （ 医 院 影 像 中 心 ） 等 个 人 隐 私 信 息 。 一 旦 利 用 D I C O M 查 看 器 连 接 上 述 泄 露 的 D I C O M 文 件 ， 在 查 看 到 医 学 影 像 图 片 的 同 时 ， 也 将 会 获 取 各 种 患 者 个 人 敏 感 信 息 。 想 象 一 下 ， 数 十 万 的 X 光 、 C T 扫 描 和 核 磁 共 振 成 像 ， 包 括 患 者 个 人 信 息 全 都 泄 露 在 网 ， 而 且 ， 没 有 密 码 和 其 它
访 问 验 证 措 施 ， 这 会 是 什 么 后 果 。 2 、 通 过 、 通 过 W e b 接 口 方 式 发 现 存 在 泄 露 风 险 的 医 学 影 像 信 息 接 口 方 式 发 现 存 在 泄 露 风 险 的 医 学 影 像 信 息 去 年 ， G r e e n b o n e 安 全 团 队 曾 对 全 球 曝 露 在 网 的 P A C S 系 统 做 了 简 单 的 安 全 测 试 ， 发 现 5 2 个 国 家 的 5 9 0 个 P A C S 系 统 曝 露 在 网 ， 其 中 有 3 9 个 系 统 无 需 密 码 验 证 即 可 直 接 访 问 。 在 我 这 里 的 测 试 中 ， 共 发 现 了 印 度 地 区 2 0 多 个 曝 露 在 网 的 W e b 医 学 影 像 系 统 ， 因 为 我 只 是 初 步 测 试 ， 实 际 情 况 可 能 更 多 。 但 好 在 这 些 W e b 医 学 影 像 系 统 都 做 了 密 码 限 制 。 那 这 样 就 安 全 了 吗 ？ 其 实 不 然 。 多 个 公 共 和 政 府 医 疗 机 构 的 W e b 医 学 影 像 系 统 都 存 在 类 似 用 户 名 密 码 为 a d m i n / a d m i n 的 弱 口 令 漏 洞 。 登 录 之 后 ， 即 可 查 看 到 所 有 病 患 的 医 疗 数 据 记 录 。 如 克 里 希 纳 吉 里   ( K r i s h n a g i r i ) 地 区 政 府 部 门 医 院 ：
D r   K u t t y s   Y o u r   C e n t e r 康 复 中 心 ： K . G . M   H o s p i t a l   P v t   L t d   私 立 医 院 ： A K L U J 的 S t a r   i m a g i n g 医 学 影 像 和 研 究 中 心 ： S M S   H o s p i t a l   a n d   S o n i   C T ：
M e d i c a   H o s p i t a l s   P r i v a t e   L i m i t e d 私 立 医 院 ： O O T Y 地 区 政 府 部 门 医 院 ： 在 此 我 只 列 出 7 个 这 样 的 不 安 全 系 统 ， 如 果 深 入 测 试 ， 可 能 还 有 更 多 。 由 于 上 述 这 些 W e b 类 医 学 影 像 系 统 存 在 的 弱 口 令 漏 洞 ， 攻 击 者 轻 而 易 举 地 就 可 获 取 数 千 名 患 者 的 医 学 影 像 和 个 人 隐 私 信 息 ， 并 能 实 现 对 这 些 信 息 的 任 意 查 看 、 编 辑 和 删 除 操 作 ， 这 就 是 当 前 印 度 公 立 或 私 营 医 院 的 网 络 安 全 状 况 。 另 外 ， 这 些 W e b 系 统 全 都 采 用 不 安 全 的 H T T P 协 议 ， 也 就 是 说 ， 客 户 端 和 服 务 端 之 间 根 本 没 有 加 密 措 施 ， 完 全 是 明 文 传 输 ， 攻 击 者 可 以 通 过 网 络 劫 持 嗅 探 发 起 中 间 人 攻 击 ， 获 取 数 据 。 医 疗 应 用 或 软 件 漏 洞 医 疗 应 用 或 软 件 漏 洞 我 此 次 的 测 试 完 全 没 有 涉 及 到 其 中 的 医 疗 应 用 或 软 件 漏 洞 ， 那 是 另 外 一 个 层 面 的 事 。 但 是 ， 我 还 是 可 以 访 问 到 一 些 医 学 病 历 和 记 录 文 档 ， 其 中 甚 至 包 含 了 患 者 手 机 号 码 等 隐 私 信 息 。 让 我 惊 讶 的 是 ， 印 度 医 院 在 保 护 患 者 个 人 医 疗 数 据 信 息 方 面 是 如 此 的 脆 弱 不 堪 。 早 在 2 月 份 ， 各 种 安 全 媒 体 就 曝 光 过 印 度 曝 露 在 互 联 网 且 不 安 全 的 P A C S 系 统 情 况 ， 但 是 直 到 今 天 ， 其 中 大 部 分 P A C S 系 统 仍 然 在 线 ， 风 险 依 旧 。 泄 露 的 医 学 数 据 信 息 会 被 利 用 泄 露 的 医 学 数 据 信 息 会 被 利 用 上 述 泄 露 的 患 者 医 疗 信 息 会 被 攻 击 者 以 各 种 目 的 实 施 利 用 ， 如 通 过 医 学 信 息 公 开 方 式 损 害 个 人 名 誉 、 结 合 暗 网 等 泄 露 数 据 发 起 钓 鱼 攻 击 、 社 会 工 程 学 手 段 的 渗 透 入 侵 等 。 政 治 高 官 或 娱 乐 明 星 的 此 类 医 疗 信 息 泄 露 ， 将 会 让 他 们 的 健 康 状 况 和 个 人 形 象 受 损 。
患 者 数 据 信 息 应 该 受 到 保 护 患 者 数 据 信 息 应 该 受 到 保 护 根 据 2 0 1 1 年 《 信 息 技 术 ( 合 理 的 安 全 措 施 和 程 序 以 及 敏 感 的 个 人 数 据 或 信 息 ) 规 则 》 ( S P D I 规 则 ) - ( R e a s o n a b l e   S e c u r i t y P r a c t i c e s   a n d   P r o c e d u r e s   a n d   S e n s i t i v e   P e r s o n a l   D a t a   o r   I n f o r m a t i o n )   ， 个 人 可 识 别 的 医 疗 信 息 被 视 为 敏 感 的 个 人 数 据 或 信 息 ( S P D I ) ， 此 类 S P D I 的 处 理 须 在 合 规 情 况 下 进 行 。 因 此 ， 根 据 2 0 0 0 年 《 信 息 技 术 法 》 第 4 3 A 节 ( 发 布 《 S P D I 规 则 》 的 数 据 安 全 事 项 ( I n f o r m a t i o n   T e c h n o l o g y   A c t 主 要 条 款 ) ， 上 述 存 在 患 者 信 息 泄 露 的 医 疗 机 构 需 要 承 担 相 应 的 法 律 责 任 。 另 外 ， 印 度 于 2 0 1 8 年 提 出 “ 医 疗 保 健 中 的 数 字 信 息 安 全 法 案 ( D I S H A ) ” 草 案 ， 但 尚 未 在 议 会 获 得 通 过 。 现 如 今 ， 包 括 医 疗 保 健 在 内 的 一 切 信 息 都 已 数 字 化 了 ， 政 府 是 时 候 通 过 这 样 的 法 案 了 。 后 续 后 续 在 本 文 发 出 之 后 ， 我 了 解 到 上 述 提 到 的 一 些 P A C S 软 件 系 统 由 不 同 的 软 件 供 应 商 开 发 ， 具 体 的 技 术 维 护 由 医 疗 机 构 内 部 的 I T 团 队 负 责 ， 一 些 弱 口 令 漏 洞 的 责 任 应 该 在 于 他 们 ， 这 点 需 要 及 时 重 视 整 改 。 另 外 ， 印 度 P A C S 应 用 开 发 商 M e d d i f f 公 司 主 动 联 系 到 了 我 ， 声 称 已 经 提 醒 了 相 关 客 户 进 行 了 相 应 的 密 码 整 改 和 安 全 修 复 。 希 望 其 它 相 关 开 发 商 和 医 疗 机 构 也 及 时 跟 进 ， 积 极 采 取 修 复 措 施 ， 消 除 安 全 风 险 。 参 考 来 源 参 考 来 源 m e d i u m 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理