Свыше 45 миллионов медицинских сканов оказались в открытом доступе

Свыше 45 миллионов медицинских сканов оказались в открытом доступе

Свыше 45 миллионов медицинских сканов оказались в открытом доступе

Две тысячи серверов, совокупно хранящих 45 млн рентгеновских снимков и других результатов медицинских обследований, в течение года находились в публичном доступе без каких-либо средств защиты. На некоторых из этих ресурсов были обнаружены откровенно вредоносные скрипты.

Выявить масштабный слив конфиденциальной информации помогло исследование, проведенное в CybelAngel — компании, специализирующейся на предоставлении услуг по управлению рисками. Целью исследования являлось определение уровня защищенности сетевых хранилищ (NAS) и связи по протоколу DICOM (Digital Imaging and COmmunications in Medicine) — стандарту де факто, который медики используют для передачи и обработки данных.

За полгода аналитики просканировали около 4,3 млрд IP-адресов и выявили более 2140 общедоступных серверов, на которых суммарно хранилось свыше 45 млн уникальных DICOM-изображений. Эти серверы были размещены в 67 странах, в том числе в США, Великобритании, Франции и Германии.

Каждый медицинский скан сопровождался записью, содержащей персональные данные пациентов, а также сведения о состоянии здоровья, полученной медицинской помощи и оплате таких услуг. В большинстве случаев доступ к этой информации не требовал пароля, а на порталах, предусматривающих регистрацию, войти можно было, не заполняя поля логина и пароля.

Как оказалось, специализированные сервисы тоже не застрахованы от ошибок, грозящих утечками. Один из поставщиков платных услуг по безопасному хостингу DICOM-изображений забыл защитить службу NFS (Network File System, сетевая файловая система) на порту 2049 и в итоге слил в интернет порядка 500 тыс. файлов.

Исследователи предупреждают, что публичный доступ к конфиденциальным данным провоцирует мошенничество, вымогательство и шантаж. Халатное отношение к защите такой информации также может грозить провайдеру санкциями — за нарушение GDPR (General Data Protection Regulation, регламент ЕС о защите данных) или HIPAA (Health Insurance Portability and Accountability Act, американский Закон о сохранении медицинского страхования и персонифицированном учёте в здравоохранении).

Обеспечить безопасность хранения и передачи данных, по мнению экспертов, помогут следующие меры:

  • введение и контроль соблюдения строгих политик доступа к NAS-устройствам и приложениям для обмена файлами;
  • сегментация сетей с подключенным к интернету медицинским оборудованием, предельное ограничение доступа к критически важным средствам диагностики;
  • проведение аудита у подрядчиков для выявления случаев нарушения отраслевых стандартов и нормативов;
  • проведение работ по оценке защищенности данных, определению рисков и приоритетных проблем с привлечением сторонних экспертов.

В App Store и Google Play нашли десятки приложений для «раздевания» людей

Пока в соцсетях обсуждают скандалы вокруг чат-бота Grok, которого пользователи применяли для создания откровенных изображений женщин без их согласия, выяснилось, что проблема куда шире. В неё оказались вовлечены два самых популярных магазина приложений для мобильных устройств — Apple App Store и Google Play Store.

Как сообщает Tech Transparency Project, в официальных магазинах приложений обнаружились десятки так называемых nudify-приложений — сервисов, которые с помощью ИИ позволяют «раздевать» женщин на изображениях или создавать откровенные сцены.

По данным исследования, в Google Play Store таких приложений насчитали 55, в App Store — 47, причём 38 из них присутствовали сразу в обоих магазинах.

 

 

Для проверки исследователи просто искали по ключевым словам вроде «nudify» и «undress» — и без особых усилий находили десятки приложений. Часть из них генерировала изображения и видео по текстовым запросам, другие занимались «фейссвапом», подставляя лицо одного человека в тело другого.

После того как список приложений передали Google и Apple, компании всё же отреагировали: Google удалила 31 приложение, Apple — 25. Однако значительная часть подобных сервисов по-прежнему доступна, особенно в Play Store.

Отдельное внимание в отчёте уделяется приложению DreamFace — генератору изображений и видео, который до сих пор доступен в Google Play, хотя из App Store его уже убрали. По словам исследователей, сервис практически не сопротивляется откровенным запросам и спокойно создаёт непристойные изображения женщин.

Пользователю дают один бесплатный ролик в день, а за расширенные возможности предлагают оформить подписку. По данным AppMagic, DreamFace уже заработал около $1 млн.

Ирония в том, что и Google, и Apple получают до 30% комиссии с таких подписок — то есть фактически зарабатывают на приложениях, которые нарушают их же собственные правила.

Похожая история и с приложением Collart, которое тоже умеет генерировать откровенный контент и принимать прямые запросы на порнографические сцены. Его удалили из App Store, но в Google Play оно всё ещё доступно.

Ещё более тревожной эксперты называют категорию фейссвоп-приложений. Такие сервисы позволяют подставлять лица реальных людей — знакомых, коллег, одноклассников — на обнажённые тела. Например, приложение RemakeFace на момент публикации остаётся доступным сразу в обоих магазинах и, как утверждается в отчёте, легко используется для создания несогласованных интимных изображений.

При этом и Apple, и Google официально запрещают приложения с сексуальной наготой. Но, как показало исследование, этих ограничений оказалось недостаточно: ИИ-сервисы для «раздевания» людей годами спокойно проходили модерацию и распространялись через официальные магазины.

RSS: Новости на портале Anti-Malware.ru