Caso da “Uber dos enfermeiros” ESHYFT expôs mais de 86 mil registros médicos e PII por meio de bucket S3 público
(websiteplanet.com)- Um banco de dados público relacionado à empresa de HealthTech ESHYFT, sediada em Nova Jersey, expôs 86.341 registros e 108,8 GB de dados; a plataforma conecta unidades de saúde e profissionais de enfermagem em 29 estados
- O material exposto incluía perfis e imagens faciais, CSVs com escalas mensais de trabalho, certificações profissionais, contratos de alocação de trabalho, currículos e PII adicional
- Alguns arquivos parecem ser documentos médicos enviados pelo app como comprovação de motivos de ausência ou licença médica, contendo informações de diagnóstico, prescrição e tratamento, o que pode colocá-los sob regulamentação da HIPAA
- Após a notificação de divulgação responsável feita pelo pesquisador, o acesso ao banco de dados foi restringido mais de um mês depois, mas não foi confirmado quem o administrava, por quanto tempo ficou exposto nem se houve acesso por terceiros
- Plataformas de profissionais de saúde devem adotar criptografia de dados sensíveis, auditorias de segurança regulares, retenção mínima e anonimização, armazenamento separado por nível de sensibilidade, MFA, plano de resposta a incidentes e canais de denúncia
Exposição identificada no banco de dados público da ESHYFT
- O pesquisador de cibersegurança Jeremiah Fowler encontrou um banco de dados sem proteção por senha nem criptografia e compartilhou a descoberta com a Website Planet
- O banco de dados continha 86.341 registros que pareciam pertencer à ESHYFT, com tamanho total de 108,8 GB
- O nome do banco de dados e documentos internos indicavam que os registros pertenciam à ESHYFT, e a maioria dos documentos estava dentro de uma pasta “App”
- A ESHYFT é uma empresa de HealthTech sediada em Nova Jersey que opera uma plataforma de aplicativo móvel para conectar unidades de saúde e profissionais de saúde
- O público-alvo inclui Certified Nursing Assistants(CNAs), Licensed Practical Nurses(LPNs) e Registered Nurses(RNs)
- O app está disponível na Apple App Store e na Google Play Store
- Na Google Play Store, o número de downloads passa de 50.000
- A Apple não fornece mais estatísticas de usuários
Arquivos expostos e sensibilidade das informações médicas
- Em uma análise limitada de amostras, foram encontrados vários tipos de arquivos
- Perfis ou imagens faciais de usuários
- Arquivos .csv com logs de escalas mensais de trabalho
- Certificações profissionais
- Contratos de alocação de trabalho
- CVs e currículos, além de informações pessoais identificáveis(PII) adicionais
- Um único documento de planilha continha mais de 800.000 itens
- ID interno do enfermeiro
- Nome da unidade
- Horários e datas dos turnos
- Horas trabalhadas etc.
- Também foram identificados documentos médicos que parecem ter sido enviados pelo app
- Possivelmente arquivos para comprovar o motivo pelo qual enfermeiros individuais faltaram ao trabalho ou tiraram licença médica
- Os relatórios médicos continham informações de diagnóstico, prescrição e tratamento
- Essas informações podem entrar no escopo da regulamentação HIPAA
Medidas após a notificação e incertezas restantes
- O pesquisador enviou imediatamente uma notificação de divulgação responsável à ESHYFT
- O acesso público ao banco de dados foi restringido mais de um mês depois
- A resposta da ESHYFT foi: “Thank you! we’re actively looking into this and working on a solution”
- Ainda há pontos não confirmados
- Se o banco de dados era de propriedade e administrado diretamente pela ESHYFT ou se era administrado por um contratado terceirizado
- Por quanto tempo ele ficou exposto antes de ser descoberto pelo pesquisador
- Se outras pessoas o acessaram
- A existência de acessos adicionais ou atividades suspeitas só pode ser identificada por uma auditoria forense interna
Quanto mais crescem as plataformas de profissionais de saúde, maior é a carga de segurança
- A ESHYFT afirma permitir que enfermeiros escolham trabalhos compatíveis com suas agendas e oferecer às unidades de saúde acesso a profissionais de enfermagem W-2 verificados
- A plataforma está disponível em 29 estados dos EUA
- AL, AZ, AR, CA, CT, DE, FL, GA, IL, IN, IA, KS, KY, MD, MI, MN, MO, NE, NJ, OH, PA, RI, SC, TN, VT, VA, WA, WI, WV
- Um relatório da Health Resources & Services Administration(NCHWA) prevê que a escassez de enfermeiros registrados nos EUA chegará a 10% até 2027
- Com o aumento da demanda por profissionais de saúde, plataformas como a ESHYFT ajudam a suprir a falta de mão de obra
- À medida que profissionais de enfermagem que realizam trabalho presencial também são integrados a tecnologias online, empresas de HealthTech precisam de proteções mais fortes para dados pessoais
- Quanto mais hospitais e profissionais de saúde dependem de tecnologia para armazenamento de dados, gestão de atendimento e contratação, maior também se torna a carga de cibersegurança em todo o setor
- Hospitais são considerados infraestrutura crítica, e várias redes sofreram ataques graves de ransomware nos últimos anos
Riscos potenciais e medidas de segurança necessárias
- A exposição de informações pessoais identificáveis, dados salariais e histórico de trabalho de profissionais de enfermagem pode criar riscos tanto para os indivíduos quanto para as unidades de saúde empregadoras
- Se digitalizações de documentos de identidade, como carteira de motorista ou cartão de Social Security, forem combinadas com endereço e informações de contato, elas podem ser exploradas para roubo de identidade ou fraude financeira
- A exposição de informações pessoais e profissionais pode levar a phishing direcionado usando dados reais
- Pode enganar vítimas com golpes de emprego ou fazê-las revelar informações pessoais e financeiras adicionais
- No entanto, isso não significa que dados da ESHYFT ou dados de usuários tenham sido efetivamente explorados em fraudes ou atos ilícitos
- Empresas de HealthTech e fornecedores de software médico devem considerar as seguintes medidas
- Protocolos obrigatórios de criptografia para dados sensíveis
- Auditorias de segurança regulares para identificar vulnerabilidades na infraestrutura interna
- Limitação do armazenamento de dados sensíveis e anonimização quando possível
- Definição de data de expiração para dados que não são mais usados
- Armazenamento separado de acordo com a sensibilidade dos documentos
- Neste caso, os arquivos de usuários parecem ter sido enviados para uma única pasta, sem separação por nível de sensibilidade
- Imagens de perfil de usuários podem ter baixa sensibilidade
- Comprovantes de exames médicos podem ter alta sensibilidade
- Em teoria, os dois documentos não deveriam ser armazenados na mesma pasta
- Separação e criptografia de dados sensíveis oferecem uma camada adicional de proteção em caso de exposição acidental ou ataque malicioso
- Aplicações que podem acessar informações ou documentos sensíveis precisam de MFA
- Isso dificulta o acesso imediato à aplicação ou ao painel do usuário mesmo que credenciais como nome de usuário e senha sejam expostas
- Empresas de HealthTech devem ter um plano de resposta a violações de dados e um canal de comunicação dedicado para relatar possíveis incidentes de segurança
- Se houver apenas contatos de suporte ao cliente ou vendas, a comunicação com os responsáveis essenciais por agir em caso de violação de dados pode ser atrasada
- Quando dados sensíveis ficam publicamente expostos, atrasos na mitigação e recuperação podem ser críticos
- Após um incidente de dados, uma notificação de divulgação responsável deve ser fornecida em tempo hábil aos usuários que possam ser diretamente afetados
- Usuários devem receber orientação sobre como reconhecer tentativas de phishing relacionadas ao respectivo aplicativo ou serviço
- Isso não significa que houve conduta ilegal por parte da Shiftster LLC dba ESHYFT, de contratados ou afiliadas, nem é uma alegação de que dados internos ou dados de usuários estavam em risco iminente
1 comentários
Opiniões no Hacker News
Ouvi recentemente que, antes de oferecer um trabalho, essa empresa usa um relatório de crédito para avaliar quanta dívida a pessoa tem — ou seja, quão desesperada ela está — e então usa essa informação para ajustar para baixo o valor da hora oferecida.
Se esse vazamento gerar algum prejuízo para eles, parece que merecem receber ainda mais do que isso.
Ao aceitar um chamado, é preciso ligar um app de rastreamento de localização; se a pessoa pega trânsito ou fica sem sinal no celular, acumula penalidades, e essas penalidades acabam levando a redução de salário.
É como armar contra eles as péssimas condições da enfermagem, em que já há pacientes demais, pessoal de apoio de menos e ainda é preciso fazer registros depois de plantões de 12 horas. Minha esposa é enfermeira, então isso parece ainda mais real para mim.
Especialmente se forem enfermeiros experientes, não há motivo para usar um app horrível que rebaixa salários; deveriam conseguir ser contratados quase imediatamente por qualquer instituição de saúde, e, sendo RNs, parece haver muitas opções em telemedicina.
A pessoa pode ter cônjuge, os pais podem pagar a fatura do cartão de crédito, alguém com crédito ruim pode simplesmente não se importar muito, ou pode haver dinheiro de família.
Mesmo com pouca dívida, a pessoa pode estar desesperada por trabalho; fico em dúvida se isso realmente funciona.
A seção Data Security da política de privacidade diz que eles usam salvaguardas físicas, administrativas e técnicas para aumentar a integridade e a segurança das informações coletadas e armazenadas, mas que não existe segurança perfeita ou impenetrável, e que não garantem contra vazamento, acesso, divulgação, alteração ou destruição.
Em especial, o serviço afirma que não foi projetado para armazenar ou proteger informações de saúde protegidas pela HIPAA; não sei se dá para escapar da responsabilidade dizendo “desculpe, não fizemos isto como um sistema em conformidade com a HIPAA”.
0: https://eshyft.com/wp-content/uploads/2019/06/ESHYFT-Privacy...
A matéria diz que os enfermeiros aparentemente enviaram ao app documentos médicos com informações de diagnóstico, prescrição e tratamento para comprovar faltas ou motivos de licença médica, e que isso pode se enquadrar como informação de saúde protegida.
Se essa empresa está sujeita à HIPAA depende de ela ser uma covered entity ou uma business associate, e, pela política de privacidade, parece pouco provável que tenha firmado um Business Associate Agreement.
Além disso, a própria HIPAA não é exatamente um padrão de segurança ideal; grandes empresas chegam a trocar grandes volumes de informações de saúde protegidas pelo Gmail porque o Gmail é compatível com a HIPAA.
0: https://www.hhs.gov/hipaa/for-professionals/covered-entities...
Em linhas gerais, isso inclui prestadores de serviços de saúde que aceitam seguro e seguradoras; prestadores de saúde que não aceitam seguro não precisam seguir a HIPAA.
Aqui, a ESHYFT parece ser apenas uma empresa que fornece mão de obra, então não parece ter relação direta com a HIPAA, e não é muito diferente de uma grande consultoria que oferece serviços de reforço de pessoal.
Dito isso, seu alcance é mais estreito do que se esperaria, e as punições também são fracas. Mesmo que o Facebook faça alguém instalar algo como pixels de rastreamento e extraia dados médicos pessoais, provavelmente não é uma violação da lei, e parece que só daria para cobrar de quem causou o vazamento.
Neste caso também não parece fácil limitar os danos via HIPAA. É mais parecido com um médico que coloca dados de pacientes no Google Drive e eles vazam por causa de um terceirizado do Google ou de um hack.
O serviço da ESHYFT não precisa de dados protegidos pela HIPAA, nem se beneficia deles; portanto, parece difícil vencer facilmente alegando violação da HIPAA, mas outras responsabilidades por indenização ainda são possíveis.
É fácil se confundir por causa da autoridade que profissionais de saúde têm, mas é melhor nunca fornecer seu número de Seguro Social a médicos ou hospitais.
Eles não precisam disso. Verificar identidade também não significa escanear ou fotografar documento.
Médicos, hospitais e clínicas estão entre os piores em segurança da informação; quase não há treinamento, as punições por erros são brandas, e esse tipo de informação acaba servindo mais para localizar você caso não pague a conta.
Fico curioso para saber quão antigo é esse bucket S3. Em algum momento, a AWS passou a criar novos buckets S3 como privados por padrão.
Então é provável que seja um bucket antigo, ou que tenham aberto tudo publicamente de forma imprudente porque uploads/downloads de arquivos no app móvel/serviço não estavam funcionando.
Fico me perguntando por que usaram “Uber para enfermeiros” no título em vez do nome real da empresa.
Na semana passada estavam culpando o Firebase; agora será que vão culpar a AWS?
Os procedimentos de segurança de quando você faz algo de qualquer jeito às 3 da manhã para mostrar aos amigos não podem ser aplicados do mesmo jeito a um produto que hospeda informações de identificação pessoal. A segurança básica dos dados precisa ser implementada pelo próprio operador
Ela deveria fazer com que o desenvolvedor caísse em um poço do sucesso seguro só de seguir os padrões
Nesse caso, buckets S3 deveriam ser privados e criptografados por padrão, e o desenvolvedor teria que desativar isso explicitamente. Hoje isso pode até ser assim, mas no passado não era
O setor de saúde está quebrado de ponta a ponta, e até as empresas de tecnologia ao redor dele parecem incompetentes
Como hospitais baratos de propriedade corporativa não querem contratar enfermeiros como funcionários W2, a enfermagem acabou sendo uberizada, e é bem possível que a mesquinharia dos hospitais tenha levado à escolha de aplicativos tão ruins
Talvez o administrador que aprovou tenha recebido propina, e a ESHYFT deveria ir à falência por causa disso, mas, na prática, parece mais provável que nada aconteça
Enquanto executivos não forem para a cadeia, esse tipo de coisa vai continuar acontecendo. É bem provável que alguém tenha ganhado muito dinheiro com esse negócio sem investir em segurança da informação
O preço da economia de custos foi pago por pessoas que não tiveram nada a ver com o lucro, e daqui a alguns anos talvez esses executivos estejam dando palestras sobre como criar uma empresa de sucesso
Se esse comportamento não tiver nenhuma consequência, o público continuará pagando o preço do ganho privado
Grandes sistemas de saúde têm seu próprio pool de enfermeiros float ou sistemas internos de ofertas
Ter acesso a uma estrutura para cobrir férias e vagas também é um argumento de venda quando se tenta convencer alguém a vender para um grande sistema
As pessoas que sabem do problema são justamente as que se beneficiam dele, então há pouquíssimo incentivo para corrigir
Ainda estamos fingindo acreditar que existe uma agência reguladora funcional capaz de tomar providências sobre coisas assim?
Não entendo por que isso continua se repetindo. Parece que todo mês surge um novo vazamento em um bucket S3 aberto
O ponto mais importante é que há muita gente com forte motivação para continuar vasculhando em grande escala. Hoje é muito fácil varrer GitHub, IPs, domínios e a internet em geral, e detectar “configuração incorreta de S3” está no nível de scripts disponíveis para qualquer um, sem exigir habilidade avançada de programação
Essa política pode depois não ser adequada para o ambiente de produção. Não estou dizendo que isso esteja certo, só que é assim que as coisas acontecem na prática
Se a pessoa que montou a infraestrutura a configurou enquanto estava exausta demais e acordou de manhã vendo isso, é realmente lamentável