Wyciek danych osób z problemami z nasieniem. Wystarczył prosty błąd przy wysyłaniu maila

To nie pierwsza sytuacja, kiedy przez niedopatrzenie w służbie zdrowia ujawnione zostają wrażliwe dane pacjentów. Niewielka wpadka może spowodować, że ktoś dowie się o chorobie wenerycznej albo skrywanej operacji plastycznej.

Pewna polska uczelnia wyższa prowadziła badania naukowe nad jakością nasienia. Uczestników poinformowano o odbiegających od normy wynikach mailowo. Sęk w tym, że ktoś popełnił błąd i do jawnej kopii wrzucił adresy, które znaleźć się miały w kopii ukrytej - pisze portal Zaufana Trzecia Strona. Odbiorcy wiadomości teoretycznie powinni widzieć tylko swój adres mailowy, tymczasem każdy zobaczył 47. Wszystkie należały do uczestników badania.

Takie problemy zdarzają się bardzo często. Firmy wysyłając tę samą wiadomość do wielu użytkowników przez zwykłą nieuwagę nie ukrywają ich adresów i mnóstwo osób może sprawdzić, do kogo również wysłany był mail. I w ten sposób można dowiedzieć się, kto nie opłacił składki, kto wziął polisę czy znajduje się w gronie zamożnych klientów banku, do których kierowane są specjalne oferty. Nic groźnego?

Nie chcemy, żeby ktoś obcy znał naszego maila z dwóch powodów. Wiele osób posiada konto pocztowe powstałe na bazie imienia i nazwiska. To pozwala “namierzyć” nas w mediach społecznościowych. Co wbrew pozorom może być problemem, jeśli ktoś skorzystał z usługi, która miała być tajemnicą.

A poza tym maila może otrzymać zwykły spamer, który dzięki temu dostaje darmową bazę odbiorców. I w konsekwencji zasypie ich skrzynki niechcianymi ofertami. Albo oszust, który dowiaduje się, z jakich ofert korzystają klienci. Dzięki temu może przygotować fałszywą, spreparowaną wiadomość, nawiązującą do wykupionych przez nich usług.

W tym przypadku wycieku z polskiej uczelni sprawa jest znacznie poważniejsza z jeszcze innego powodu. Tak brzmiała treść wiadomości:

“Piszę do Pana ponieważ w wyniku realizacji projektu dotyczącego badań środowiskowych realizowanych w Katedrze [tu nazwa katedry] przynajmniej jeden parametr analizy nasienia odbiegał od wartości referencyjnej”.

Mamy w tym wypadku niestety do czynienia z wyciekiem danych szczególnie chronionych, dotyczących stanu zdrowia - zauważa portal Zaufana Trzecia Strona.

W Polsce mieliśmy już podobne przypadki. W czerwcu 2017 roku wyciekły wrażliwe dane 50 tys. pacjentów polskiego szpitala. Wśród informacji, które wyciekły, znajdowały się m.in. imię, nazwisko, PESEL, adres zamieszkania, grupa krwi, numer ubezpieczenia, a nawet wyniki niektórych badań. Znalazł się też rejestr osób, które chorowały na choroby zakaźne z informacją, co było czynnikiem chorobotwórczym oraz datą rozpoznania.

Niewiele zabrakło, a poufne dane mogły wyciec z LuxMedu. Firma pozwala na swojej stronie internetowej rozmawiać z lekarzem za pośrednictwem czatu. Sęk w tym, że rozmowy pacjentów niemal każdy mógł podsłuchać - wystarczyło wykorzystać lukę. Użytkownicy czatu mogli przechwycić dane osobowe pacjentów i lekarzy, a także treść ich rozmów. Do naruszenia prywatności na szczęście nie doszło, ale ryzyko istniało.

Skutek wkroczenia nowych technologii do świata medycyny. Kontakt z lekarzem jest wygodniejszy, ale przez to istnieje prawdopodobieństwo, że ktoś nieupoważniony pozna naszą kartę chorób.

I wykorzysta tę wiedzę do szantażu. Na Litwie szantażowani byli pacjenci prywatnej kliniki zajmującej się operacjami plastycznymi. Informacje na temat usług, z których skorzystali, przejęli hakerzy. Wyciekło 25 tysięcy prywatnych zdjęć - w tym nagich fotografii, a także zdjęć przed i po zabiegu. Pacjenci musieli zapłacić, jeżeli nie chcieli, by materiały trafiły do sieci.

- Informacje o grupie krwi czy przebytych przeziębieniach może nie stanowią dużej wartości, ale upublicznienie takich informacji, jak na przykład historia chorób wenerycznych, może narazić na szwank wizerunek danego pacjenta – komentował zdarzenie Kamil Sadkowski, analityk zagrożeń z firmy ESET.
Oczywiście firmy za takie błędy mogą zapłacić, o ile poszkodowani zechcą domagać się odszkodowania. Niewykluczone, że po podobnych wpadkach konsekwencje będą bardziej odczuwalne, gdy w życie wejdzie RODO, czyli Rozporządzenia o Ochronie Danych Osobowych.

To będzie prawdziwa rewolucja. Od maja 2018 roku firmy w ciągu 72 godzin będą miały obowiązek zgłoszenia każdego incydentu naruszenia bezpieczeństwa danych władzom, opinii publicznej i klientom, którzy mogli ucierpieć na skutek ataku. Jeśli przedsiębiorca tego nie zrobi, zapłaci gigantyczną karę - od 10 mln do 20 mln euro lub od 2 do 4 proc. rocznego obrotu - w zależności, która z sankcji będzie bardziej dotkliwa.

Za samo ujawnienie maili już teraz firmy są karane. Przez samych internautów. Przedsiębiorca, który przez przypadek zdradził adresy mailowe swoich klientów innym użytkownikom, może zmazać plamę poprzez kupienie książek dla potrzebujących czy bibliotek lub wpłacając kilka tysięcy zł na cele charytatywne.

To czasami jedyna korzyść z błędu, który może mieć większe konsekwencje niż nam się wydaje.