Hangfelvételek
Terápiás feljegyzések jelszó nélküli adatbázisban
2024 szeptemberében kiderült, hogy egy amerikai, mesterséges intelligenciát hirdető lelki egészségügyi és függőségkezelő szolgáltató adatbázisa jelszó nélkül volt elérhető, benne terápiás feljegyzésekkel és személyi okmányokkal.
A texasi Confidant Health mesterséges intelligenciára épülő online szolgáltatásként hirdeti magát: lelki egészségügyi ellátást és függőségkezelést kínál öt amerikai államban. 2024. szeptember 6-án egy független biztonsági kutató a vpnMentor oldalán arról számolt be, hogy a cég egyik adatbázisa jelszó nélkül, bárki számára elérhető volt az interneten.
Az adatbázisban 126 276 fájl volt, összesen 5,3 TB, egy külön mappában pedig 1 755 571 naplósor. A kutató pszichoterápiás felvételi feljegyzéseket és pszichoszociális felméréseket látott, amelyek a lelki állapotról, a szerhasználatról, a családi helyzetről és a traumákról szóltak. Mellettük jogosítványok, személyi igazolványok és egészségbiztosítási kártyák képei, gyógyszereket felsoroló orvosi levelek és névre szóló drogteszt-eredmények is voltak. Az ülések hang- és videófelvételeire, illetve átirataira utaló hivatkozásokat is talált; szerinte valószínűleg ezek a nagy fájlok okozták az adatbázis méretét.
A kutató azonnal értesítette a céget, és a nyilvános hozzáférést néhány órán belül megszüntették. Hogy az adatok mióta voltak elérhetők, a kutató szerint csak a cég belső vizsgálata derítheti ki; azt sem tudni, hozzáfért-e más. A cég társalapítója a Wired magazinnak azt mondta, hogy a hibát egy órán belül kijavították. Szerinte a fájlok kevesebb mint 1 százaléka volt elérhető, köztük faxok és szintetikus tanítóadatok, és a külső szakértőkkel végzett vizsgálat szerint illetéktelen nem fért hozzá a betegek irataihoz.
Mit tanulhatunk belőle?
Egy terápiás jegyzet, felvétel vagy átirat, ha egy szolgáltató rendszerében sok másikkal együtt gyűlik, egyszerre értékes és sérülékeny, és a biztonsága a szolgáltató tárhelybeállításain múlik. A digitális jegyzetelés és átírás ettől még jó szolgálatot tehet; érdemes viszont tudni, hol történik. A Confiellában a hangfelvétel nem hagyja el a gépet, az átirat helyben készül, az ügyek pedig titkosított adatbázisban maradnak a saját gépen. Felhős szolgáltatásnál négy kérdés segít: hol tárolják az anyagot, meddig, ki fér hozzá, és mikor törlődik.
Források
- vpnMentor: Online AI Mental Health and Addiction Treatment Provider Exposed Patient Data
- Bitdefender: Confidant Health Data Breach: Thousands of Patient Therapy Sessions and Patient's PII Exposed in an Unsecured Database Online
- HIPAA Journal: Researcher Identifies Exposed Database Containing Mental Health and Substance Abuse Treatment Information
A cikk a felsorolt nyilvános források alapján készült. Ha hibát talál benne, írjon nekünk: [email protected]