Это уже давно известно как открытая тайна: на протяжении многих лет многие больницы передают по воздуху конфиденциальные данные пациентов без шифрования через их сеть пейджеров. При помощи простого ультрадешёвого радиоприёмника, такого как RTL-SDR, или любого другого дешёвого радиосканера, например Baofeng, можно перехватывать эти конфиденциальные данные с очень небольшими техническими знаниями. Больницы, похоже, не спешат обновлять свои системы, хотя явно нарушают нормы HIPAA в отношении конфиденциальности в США.
Недавно, пытается привлечь внимание к этой продолжающейся угрозе безопасности в его родном штате Канзас, и в прошлом месяце ему удалось опубликовать статью о проблеме в газете Kansas City Star. В Twitter он также активно документирует нарушения, которые он находит, используя RTL-SDR для получения сообщений пейджеров.
Поздравляю эту новую маму на ! Думаете, что её личная информация была отправлена людям за сотни миль, чтобы её больница могла использовать старые пейджеры? pic.twitter.com/YVyVWMvzFu
— Data Watcher (@WatcherData)
Интересно, что освещение, созданное статьёй газеты @WatcherData, вызвало в больнице в этом деле враждебную реакцию. На Reddit /r/legaladvice, форуме, где любой может задавать вопросы юридической консультации,
Я давно обнаружил, что больницы в моем регионе США отправляют сообщения пейджерам врачей, которые содержат имя, возраст, пол, диагноз, номер палаты и лечащего врача. Их можно увидеть любому, кто имеет простое устройство RTL SDR, и пару бесплатных программ.
Это похоже на массовое нарушение HIPAA. Поэтому я связался с основной больницей, которая отправляет большую часть информации, и они были очень благодарны. Мне позвонил через день руководитель высшего уровня; он объяснил шаги по исправлению, что их аудиторы и тестировщики проникновения пропустили, и что они устранят это в течение недели. Конечно, они начали использовать номер пациента и не размещать идентифицируемую информацию в сообщениях. Еще пара больниц исправила свои системы после того как я начал обращаться к ним через .
В начале этого процесса я обратился в местную газету. Они связались с больницей и получили очень враждебный ответ. Они сразу отвергли любые нарушения HIPAA и объяснили, что я (источник) нарушаю Закон о конфиденциальности электронных коммуникаций 1986 года.
Это было достаточно, чтобы полностью напугать меня. Я уничтожил все журнальные файлы на своих системах и прекратил сбор данных. Репортеры хотят знать, как я хочу продолжать. Изначально я планировал получить полное признание за находку в их статье. Но теперь мне как минимум нужно оставаться анонимным и подумываю попросить их вообще не публиковать историю.
Среди ответов, похоже, нет консенсуса по тому, законно ли просто принимать сообщения пейджеров в США.
Ранее мы видели аналогичные попытки привлечь внимание к этим нарушениям конфиденциальности, например художественную инсталляцию в Нью-Йорке под названием Holypager, которая просто непрерывно печатала все сообщения пейджеров, полученные с помощью HackRF, чтобы посетители галереи могли читать.
Источник:
