Tusindvis af plastikkirurgipatienter havde deres før-og-efter-fotos ved et uheld eksponeret på internettet på grund af en ubeskyttet server.
Som sikkerhedsforskere Noam Rotem og Ran Locar afslørede i dag, bar den åbne database næsten 900.000 filer på plastikkirurgiske patienter, sandsynligvis fra hele verden.
"Disse omfattede meget følsomme billeder, videofiler og papirer, der vedrører plastisk kirurgi, dermatologiske behandlinger og konsultationer," skrev forskerne i et indlæg på vpnMentor, et VPN-gennemgangsside.
Rotem og Locar hentede hurtigt databasen tilbage til det franske firma NextMotion, som tilbyder en "alt-i-en" softwareplatform til at hjælpe plastikkirurgiske klinikker med at administrere deres patienter.
Virksomhedens kunder omfatter mere end 170 klinikker i 35 lande.
Men af ??en eller anden grund lagrede NextMotion alle de indsamlede oplysninger i en Amazon Web Services S3 online lagringsspand uden adgangskodebeskyttelse.
Det er uklart, om nogen andre fandt den åbne database.
Men i de forkerte hænder kunne de udsatte oplysninger have været misbrugt til at begå afpresning mod de berørte patienter.
”Mange flere billeder var ikke bare følsomme, men også meget grafiske.
Vores team så nærbilleder af kvinders udsatte bryster og kønsorganer, herunder billeder taget umiddelbart efter en kirurgisk procedure, ”skrev forskerne.
"Sådanne billeder, der frigives til det offentlige domæne, ville være ødelæggende for de berørte kvinder."
Forskerne afslørede den eksponerede database sidste måned som en del af et ”webmapping-projekt.” De rapporterede derefter deres fund til NextMotion, som siden har sikret databasen.
"Vi tog straks korrigerende skridt, og det samme firma garanterede formelt, at sikkerhedsfejlen var forsvundet fuldstændigt," skrev NextMotion-administrerende direktør Emmanuel Elard i en erklæring på selskabets hjemmeside.
Hvorfor databasen blev efterladt usikker er ukendt.
Elard fortalte til Daxdi: "Vi undersøger stadig internt om, hvad der kan ske før denne sådan eksponering af data.
I øjeblikket har vi startet en dyb analyse og revision af vores sikkerhedsprocesser med en certificeret virksomhed."
Anbefalet af vores redaktører
Desværre er det sandsynligvis ikke sidste gang du hører om en database, der ved et uheld lækker folks følsomme oplysninger på internettet.
Mange virksomheder er afhængige af cloud-servere for let at gemme information, men de begår ofte fejlen ved ikke at sikre deres servere.
"NextMotion kunne let have undgået denne lækage, hvis den havde taget nogle grundlæggende sikkerhedsforanstaltninger for at beskytte sin database," skrev Rotem og Locar.
De anbefaler alle virksomheder at dobbelttjekke og sikre, at deres servere er sikre.
