Een app voor het melden van grensoverschrijdend gedrag in ziekenhuizen bevatte een kwetsbaarheid waardoor het voor een aanvaller mogelijk was om meldingen met gevoelige data en het wachtwoord van de beheerder te onderscheppen. De kwetsbaarheid werd gevonden door huisarts en beveiligingsonderzoeker Jonathan Bouman. Inmiddels is het beveiligingsprobleem verholpen.

De app #Zouikwatzeggen? werd in 2021 door het Amsterdam UMC gelanceerd voor de geneeskundeopleiding van de Faculteit der Geneeskunde VU. Studenten, docenten en begeleiders kunnen de app gebruiken als ze te maken krijgen met grensoverschrijdend gedrag. Vorig jaar september werd de app voor alle vijftienduizend medewerkers van het ziekenhuis beschikbaar gemaakt. Momenteel wordt de app ook door andere ziekenhuizen geïmplementeerd.

Bouman ontdekte dat het mogelijk was om via de PHP debug bar, een tool die PHP-ontwikkelaars gebruiken voor het oplossen van problemen met hun applicaties, alle requests van bezoekers die naar de server worden verstuurd te bekijken. De ontwikkelaars van de app hadden de debug bar op de server ingeschakeld laten staan. Via de tool op de app-server bleek het mogelijk om zonder enige authenticatie de naar de server gestuurde requests te monitoren. Het ging dan niet alleen om bijvoorbeeld meldingen van grensoverschrijdend gedrag, maar ook inloggegevens van de beheerder die op het beheerderspaneel inlogde.

De kwetsbaarheid werd op 12 september vorig jaar door Bouman aan een computer emergency response team (CERT) gerapporteerd. Een dag later ontdekte de huisarts dat ook het adminwachtwoord via het beveiligingslek was te onderscheppen. Daarop gaf het CERT de leverancier de opdracht om de server offline te halen. "De app werd gehost bij een externe leverancier. Dit onderzoek laat de uitdagingen zien wanneer je geen volledige controle over de infrastructuur hebt", aldus Bouman. De huisarts presenteerde zijn onderzoek vorige week tijdens de SURF Security & Privacy conferentie.