Softwarelek geeft Belgische röntgenfoto’s prijs

Tegenwoordig krijg je in zowat iedere radiologieafdeling een code mee om je foto’s thuis te kunnen bewonderen. In meer dan 80 Belgische ziekenhuizen wordt er hiervoor gebruik gemaakt van Pacsonweb, een applicatie van Dobcomed. Met behulp van de verkregen code en je geboortedatum kan je van eender welke computer op het systeem inloggen, waarna niet alleen jij maar ook je huisarts de röntgenfoto’s kunnen bekijken.

Na een bezoekje aan een ziekenhuis stootte een lezer van Tweakers echter toevallig op een lek in het systeem: door eenvoudigweg enkele karakters in de url aan te passen, kon hij namelijk eveneens de foto’s van andere patiënten inkijken. Ook maakte ditzelfde trucje het mogelijk om zip-bestanden met meerdere foto’s en aanvullende patiëntengegevens te downloaden. Het is niet duidelijk hoeveel bestanden op deze manier konden ingekeken worden.

Dobcomed werd door Tweakers op de hoogte gebracht van het probleem en na nog geen uur werd het lek gedicht. Volgens Dobcomed zou de hoeveelheid onbevoegde toegangen beperkt zijn tot slechts zes interacties, welke hoogstwaarschijnlijk van de tipgever komen. Bovendien heeft het bedrijf al zijn klanten ingelicht over het beveiligingsprobleem, ongeacht het feit dat het hier in België niet toe verplicht is.

Update: In een mail van Dobcomed wijst het bedrijf ons erop dat het lek niet toevallig werd ontdekt. De vinder van de lek heeft gegraven in de url-requests en heeft ondermeer SQL-injecties uitgeprobeerd om beveiligingsproblemen te ontdekken. Verder was het niet mogelijk de url zonder authenticatie te openen. Dit kon enkel omdat een bestaande patiënt eerst op de normale manier inlogde en vervolgens technische manipulaties uitvoerde.