Ribuan orang sangat sensitif rincian kesehatantermasuk audio dan video sesi terapi, dapat diakses secara terbuka di internet, demikian hasil penelitian baru. Informasi yang tersimpan, yang terkait dengan perusahaan perawatan kesehatan AS, mencakup lebih dari 120.000 file dan lebih dari 1,7 juta log aktivitas.
Pada akhir bulan Agustus, peneliti keamanan Jeremiah Fowler menemukan harta karun informasi yang terbuka dalam basis data yang tidak aman yang terhubung dengan penyedia layanan kesehatan virtual Confidant Health. Perusahaan yang beroperasi di lima negara bagian termasuk Connecticut, Florida, dan Texas ini membantu menyediakan pemulihan dari kecanduan alkohol dan narkoba, di samping perawatan kesehatan mental dan layanan lainnya.
Dalam 5,3 terabyte data yang terekspos adalah rincian yang sangat pribadi tentang pasien yang melampaui sesi terapi pribadi. Berkas yang dilihat oleh Fowler mencakup laporan beberapa halaman tentang catatan penerimaan pasien kejiwaan dan rincian riwayat medis. “Di bagian bawah beberapa dokumen tertulis ‘data kesehatan rahasia’,” kata Fowler.
Misalnya, satu berkas penerimaan psikiatri tujuh halaman, yang tampaknya didasarkan pada sesi selama satu jam dengan seorang pasien, merinci masalah dengan alkohol dan zat-zat lain, termasuk bagaimana pasien tersebut mengaku telah mengonsumsi “sejumlah kecil” narkotika dari persediaan rumah sakit kakek-neneknya sebelum anggota keluarga tersebut meninggal dunia. Dalam dokumen lain, seorang ibu menggambarkan hubungan “yang penuh pertentangan” antara suami dan putranya, termasuk bahwa ketika putranya menggunakan stimulan, ia menuduh pasangannya melakukan pelecehan seksual.
Dokumen kesehatan yang terekspos mencakup beberapa catatan medis tentang penampilan, suasana hati, ingatan, pengobatan, dan status mental seseorang secara keseluruhan. Satu lembar kerja yang dilihat oleh peneliti tampaknya mencantumkan anggota Confidant Health, jumlah janji temu yang telah mereka lakukan, jenis janji temu, dan banyak lagi.
“Ada beberapa trauma keluarga yang sangat menyakitkan dan memilukan, trauma pribadi,” kata Fowler, seraya menambahkan bahwa beberapa berkas berisi audio dan video sesi perawatan pasien. “Rasanya seperti rahasia terdalam dan tergelap yang Anda ceritakan di buku harian terungkap, dan itu adalah hal-hal yang tidak ingin Anda ungkapkan.”
Di samping berkas medis dalam basis data yang terekspos terdapat dokumen administrasi dan verifikasi, termasuk salinan SIM, kartu identitas, dan kartu asuransi, kata Fowler. Log tersebut juga berisi indikasi bahwa beberapa data dikumpulkan oleh chatbot atau kecerdasan buatan, yang merujuk pada perintah dan respons AI terhadap pertanyaan.
Confidant Health dengan cepat menutup akses ke basis data yang terekspos setelah Fowler menghubungi perusahaan tersebut, katanya. Peneliti, yang memberi tahu perusahaan tentang data yang terekspos dan tidak mengunduhnya, mengatakan sebagian dari 120.000 file yang terekspos memiliki beberapa bentuk perlindungan kata sandi. Fowler mengatakan dia meninjau sekitar 1.000 file untuk memverifikasi paparan dan menentukan sumber data sehingga dia dapat memberi tahu perusahaan. Dia mengatakan tidak biasa bahwa basis data yang terekspos akan menyertakan file yang terkunci dan tidak terkunci.
Dalam sebuah pernyataan kepada WIRED, salah satu pendiri Confidant Health Jon Read mengatakan perusahaan menganggap serius masalah keamanan dan “mengambil[s] masalah dengan sifat sensasional” dari temuan tersebut. Read mengatakan setelah perusahaan diberitahu tentang “konfigurasi yang tidak tepat,” akses ke berkas yang terekspos “diperbaiki dalam waktu kurang dari satu jam.”
