Het Franse techbedrijf NextMotion dat software voor plastische chirurgie ontwikkelt heeft via een onbeveiligde Amazon S3-bucket honderdduizenden foto's van patiënten gelekt. NextMotion biedt software waarmee artsen en klinieken kunnen kijken wat de resultaten van een operatie zullen zijn.

Hiervoor neemt de software een foto van de patiënt en laat vervolgens het verwachte eindresultaat van de behandeling zien. Via een S3-bucket kunnen organisaties allerlei gegevens in de cloud van Amazon opslaan. Standaard staan S3-buckets zo ingesteld dat ze niet voor onbevoegden toegankelijk zijn. De bucket van NextMotion was voor iedereen op internet zonder wachtwoord toegankelijk.

Onderzoekers Noam Rotem en Ran Locar van vpnMentor ontdekten in de S3-bucket 900.000 individuele bestanden. Het ging om zeer gevoelige foto's, videobestanden en papierwerk met betrekking tot plastische chirurgie, dermatologische behandelingen en consultatiegesprekken die waren uitgevoerd door klinieken die van de NextMotion-software gebruikmaken. Zo werden rekeningen voor behandelingen aangetroffen, alsmede voorstellen voor behandelingen, gezichtsscans en foto's van de gezichten en lichaamsdelen van patiënten.

De onderzoekers waarschuwden NextMotion op 24 januari van dit jaar. Op 30 januari waarschuwden ze Amazon en op 5 februari was de S3-bucket beveiligd. In een reactie op het datalek spreekt NextMotion van een "klein incident".