Verzuimapplicatie lekt 300.000 medische dossiers
De medische en persoonlijke gegevens van meer dan 300.000 Nederlandse werknemers waren door een lek in een verzuimapplicatie maanden lang toegankelijk voor onbevoegden. Dat laat televisieprogramma Zembla vanavond zien. Het gaat om het computerprogramma Humannet van IT-bedrijf VCD, dat kwetsbaar voor SQL Injection was. Volgens professor Bart Jacobs van de Radboud Universiteit Nijmegen is dit het grootste lek van persoonlijke en medische data in de Nederlandse geschiedenis.
Medische dossiers
De applicatie werd door honderden bedrijven en arbodiensten gebruikt, waaronder FC Twente, Gemeente Deventer, Praxis, Bijenkorf, V&D, Hornbach, Beter Bed en Action. De applicatie bevat adresgegevens, verzuim, herstel en re-integratie van werknemers, alsmede medische dossiers van bedrijfsartsen en burgerservice-nummers.
Zembla meldde het lek bij VCD, maar in eerste instantie ontkende de directeur dat zijn applicatie gehackt was. Later gaf de directeur toch toe dat hij niet kan uitsluiten dat er SQL-Injectie heeft plaatsgevonden.
Wachtwoord
Gisteren werd bekend dat de medische gegevens van duizenden Brabanders op straat lagen. Met een voor de hand liggend wachtwoord was het mogelijk om toegang tot de webapplicatie Cyberlab te krijgen.
Daarin worden laboratoriumuitslagen en uitslagen voor functieonderzoeken ingevoerd. Deze website werd uit de lucht gehaald, waardoor een aantal patiënten op testuitslagen moet wachten.
En natuurlijk komen de verantwoordelijken / directie er mee weg en blijft het bedrijf gewoon bestaan .
Misschien een salarisverhoging voor de directeur ?
1 ding is zeker ; de komende decenia gaan we dit soort berichten dagelijks horen, even wat geschreeuw van het publiek en even later een extra bonus voor het bedrijf.
Dit is echt grove nalatigheid.
Iedereen die nu nog applicaties ontwikkeld of beheerd met SQL injectie lekken kan grove nalatigheid worden verweten.
ik vind dat ze hier niet zonder straf mee weg moeten kunnen komen
Evenzo de programmeur in dit geval. Steeds bij alles naar het management wijzen is wel aardig, maar verdorie, een beetje programmeur heeft toch ook zijn trots en moet gewoon goed werk afleveren!
We klagen dat tegenwoordig alle werk verziekt wordt door procedures, protocollen en rapportages maar zodra iemand stomme fouten maakt dan wordt gelijk naar zijn management gewezen want dat is dan verantwoordelijk. Zo'n programmeur zou toch verstand van zijn vak moeten hebben?! Het is toch geen domme aap.
Dat je programmatuur goed moet testen en dat een A&P test nooit een overbodige luxe is voor een applicatie die contact met de buitenwereld heeft, dat is een ander punt. En dat mag je zo'n bedrijf wel aanrekenen.
In het eerste geval is het slordig om de applicatie niet te testen op SQLi. Deze kwetsbaarheid bestaat toch zeker al iets van 12 jaar. Misschien aardig om de site eens met nikto of w3af te analyseren (liefst door de leverancier voordat de site online gaat!).
In het tweede geval draait het om het gebruik van een zwak wachtwoord. Misschien wel gelezen van zo'n geel briefje. Hiervoor zijn ook verschillende programma's om dat te beoordelen.
Wat ik trouwens mis is het vaste argument dat papieren dossiers ook ontvreemd/gekopieerd kunnen worden. Is er nou echt helemaal niemand meer die durft te zeggen dat je 300.000 papieren dossiers ook kunt bekijken/meenemen/kopiëren, en dat elektronische opslag dus even (on)veilig is als papieren? Flauw hoor!
Dit zou toch wel eens een keer structureel aangepast kunnen zijn?
Waarom pakt de security-industrie dit probleem niet fundamenteel aan.
Als er experts zijn die weten hoe het moet, waarom het dan niet doen?
Of zijn er bepaalde 'belangen' om het zo maar te laten?
Het wachten is dus weer op de volgende website die met SQLi te hacken is....
Input validatie is trouwens niet zaligmakend. Databases worden meestal door een gebruikersapplicatie benaderd en die applicatie moet idd zo veilig mogelijk zijn (input validatie, strong authentication,etc). Maar wat te denken van tools zoals Excell, ms-access, toad, mysql,etc?
Die worden weliswaar (hopelijk!) alleen binnen de organisatie gebruikt maar vaak is dan de hele database te benaderen.
Een goede beveiliging in je database is dan erg belangrijk. Denk aan een goede rollen structuur, VPD (virtual private databases), encryptie,etc. Gebruikers moeten alleen dat kunnen zien waar ze voor geautoriseerd zijn.
Mensen die zich blind staren op alleen de applicatie zijn verkeerd bezig. In depth security is volgens mij het toverwoord,
Auditing binnen een database is trouwens ook erg belangrijk en vaak zie je dat dat niet aanstaat. In elke database zou FGA (fain grained auditing) aan moeten staan. Maar iemand moet natuurlijk de audit informatie controleren en beoordelen.
Ivan
Sql Injection is trouwens niet alleen mogelijk in de interactie tussen applicatie en database. Ook binnen een database is sql injection mogelijk en daarom zouden interne medewerkers nooit toestemming moeten krijgen om mbv adhoc tools een database te benaderen.
Ivan
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
