Údaje o ľuďoch testovaných na koronavírus boli slabo zabezpečené a bolo jednoduché sa k nim dostať. Na kritickú zraniteľnosť aplikácie Moje ezdravie upozornila slovenská bezpečnostná IT spoločnosť Nethemba, ktorá sa venuje etickému hackovaniu.
Z aplikácie vedeli získať osobné údaje o viac ako 130 000 pacientoch. Dostali sa k menám, rodným číslam, dátumom narodenia, mobilným číslam, mieste pobytu, informáciám o klinických príznakoch, druhoch testu a ich výsledkoch. Výkonný riaditeľ IT spoločnosti Pavol Lupták vyhlásil, že chyba umožňovala získať údaje o všetkých viac ako 390 000 pacientoch v databáze.
Problém spoločnosť nahlásila v nedeľu 13. septembra, úrady chybu odstránili v stredu 16. septembra. „Až po oprave tejto zraniteľnosti sme sa rozhodli uvedenú zraniteľnosť publikovať,“ ozrejmila spoločnosť Nethemba.
Cieľom etických hackerov bolo poukázať na zraniteľnosť databázy, ktorá bola podľa Luptáka pravdepodobne prítomná niekoľko mesiacov. Získané dáta pacientov nebude spoločnosť nijako využívať, podotkol však, že sa k nim mohol dostať aj ktokoľvek iný.
Upozornil, že potenciálny útočník by dokázal k údajom všetkých pacientov pristúpiť bez akejkoľvek autentifikácie a špeciálnych technických znalostí. Rovnako chýbali mechanizmy, ktoré by znemožňovali masívne sťahovanie údajov a všetky dáta boli v nezabezpečenej forme.
Podľa advokáta Petra Kováča ide v tomto prípade o kybernetický bezpečnostný incident aj porušenie ochrany osobných údajov. Porušenie ich ochrany musí Národné centrum zdravotníckych informácií oznámiť Úradu na ochranu osobných údajov SR. „Vzhľadom na to, že únik údajov sa týka státisícov fyzických osôb treba informovať verejnosť alebo prijať podobné opatrenie, aby dotknuté osoby boli informované,“ vysvetlil. Vzhľadom na počet dotknutých osôb predpokladá udelenie vysokej pokuty.
