Des médecins britanniques craignent une menace de vol d’identité après une fuite de seau S3

Une agence britannique pour les médecins indépendants a potentiellement exposé des détails personnels concernant 3 200 personnes via des seaux S3 non sécurisés, qui, selon un expert, pourraient être utilisés pour lancer des attaques de vol d’identité ou du chantage.

Selon les chercheurs, Lantum, une agence de médecins suppléants en ligne, avait laissé le stockage accessible sur son ancien système backend, Network Locum. Cybernews a découvert le bucket Amazon AWS S3, exposant potentiellement 98 000 fichiers relatifs à des milliers d’individus.

La société d’analyse de sécurité surveille divers stockages d’objets blob dans le cloud pour comprendre le potentiel de mauvaise configuration. Dans le processus, il a découvert le bucket Lantum S3, qui était accessible et indexé sur certains moteurs de recherche IoT. Les analystes ont déclaré que tout acteur malveillant aurait pu trouver le référentiel des données personnelles relatives à la période 2014-2016.

“Nous avons ensuite essayé de contacter Lantum plusieurs fois sans réponse. Nous avons demandé l’aide du NCSC et on nous a conseillé de le signaler également au NHS. Cependant, après plusieurs tentatives, nous n’avons reçu aucune réponse”, ont déclaré les chercheurs. Le seau a été fermé presque immédiatement après la publication.

Les fichiers contiennent des informations personnelles sur les médecins généralistes utilisant ses services, y compris les détails du passeport, les numéros d’assurance nationale, les curriculum vitae, les documents médicaux, les certificats professionnels, les détails de la paie et les factures. Lantum a déclaré à Cybernews qu’il était conforme à la norme de sécurité ISO27001 et qu’il avait été audité. ISO27001 couvre les contrôles qui guident le stockage des données.

Le registre a offert à Lantum la possibilité de commenter. Selon une déclaration donnée au site d’informations sur les médecins Pulse, un porte-parole de Lantum a déclaré: “Bien que ces données aient pu être accessibles à des personnes non autorisées, rien n’indique actuellement que des données ont été consultées et aucune raison de soupçonner que c’est le cas .

“Nous traitons cependant cette affaire comme une violation potentielle des données et continuerons à assurer la liaison avec toutes les personnes susceptibles d’être concernées si davantage d’informations sont révélées par nos enquêtes.”

Mais un médecin expert en technologie n’était pas rassuré.

Le Dr Marcus Baw, président sortant du Royal College of GPs Health Informatics Group, a déclaré que les informations accessibles étaient personnellement sensibles et pourraient exposer les médecins concernés. “C’est le genre de détails que vous choisiriez si vous vouliez être dans une position très forte pour créer une fausse identité”, a-t-il déclaré.

En plus du vol d’identité, il y avait un risque de chantage car les dossiers contiennent des détails sur les plaintes liées à l’organisme de réglementation, le Conseil médical général, dont beaucoup peuvent être non prouvées ou vexatoires.

Baw a averti qu’il pourrait falloir des années pour que les détails refont surface sous la forme de campagnes de vol d’identité après que les détails aient été échangés sur le dark web.

Il a déclaré que Lantum devrait être en mesure d’analyser les téléchargements des compartiments S3 en question pour évaluer s’il y avait eu une activité inhabituelle et informer les médecins concernés.

“Ils doivent l’admettre. Ils doivent contacter tous les médecins qui se sont déjà inscrits auprès d’eux et dire qu’ils sont à risque et décrire l’ampleur du risque. Ils pourraient proposer de payer des sociétés de souscription pour protéger les personnes concernées contre le vol d’identité”, Baw a dit.

Anciennement connu sous le nom de Network Locum, Lantum rebaptisé en 2017. En 2022, Lantum l’a annoncé a reçu un financement de 15 millions de dollars de Finch Capital, Piton Capitol, Samos et Cedar-Sinai Hospital. ®