Exposto! Como uma única falha de API colocou milhões de registros médicos em risco 🚨

A ameaça silenciosa: APIs mal configuradas que expõem dados confidenciais

No mundo interconectado de hoje, as APIs servem como a espinha dorsal dos ecossistemas digitais, permitindo a comunicação perfeita entre os serviços. No entanto, a crescente dependência de APIs vem com sua parcela de riscos, especialmente quando elas não estão devidamente protegidas. Uma investigação recente da plataforma BeVigil da CloudSEK revelou vulnerabilidades críticas na infraestrutura de API de uma cadeia de diagnóstico proeminente, expondo dados pessoais e médicos altamente confidenciais.

Este blog revela as descobertas da pesquisa da BeVigil, explora as possíveis consequências de tais violações e oferece recomendações acionáveis para mitigar riscos e aprimorar a segurança da API.

Decifrando o código

A plataforma BeVigil da CloudSEK descobriu várias vulnerabilidades decorrentes de um arquivo JavaScript acessível publicamente nos ativos da web do cliente. Esse arquivo continha chaves de API confidenciais, tokens de autenticação e endpoints não seguros, concedendo acesso não autorizado a sistemas críticos.

O Web App Scanner da BeVigil identificou várias descobertas importantes, incluindo:

• Informações pessoais expostas: Nomes, endereços, números de celular e relatórios médicos estavam acessíveis sem a autenticação adequada.
• Contas ABHA desprotegidas: Configurações incorretas permitiram que invasores assumissem contas ou criassem perfis fraudulentos.

APIs comprometidas: Falhas nas APIs Admin e Live deixaram o cliente vulnerável à exploração, arriscando a integridade dos dados confidenciais do usuário.

‍

Mais do que apenas uma violação de dados

As vulnerabilidades descobertas na infraestrutura de API do cliente vão além das falhas técnicas; elas representam sérios riscos com implicações de longo alcance e uso indevido em grande escala de dados de saúde.

1. Acesso não autorizado a dados: Informações médicas e pessoais confidenciais foram expostas, violando a confidencialidade e a privacidade do paciente.
2. Roubo de identidade: Os dados vazados podem permitir que os fraudadores se envolvam em roubo de identidade, fraude de seguros e outras atividades maliciosas.
3. Responsabilidade médica: O incidente coloca os profissionais de saúde em risco de consequências legais por não protegerem informações confidenciais de saúde.
4. Riscos de segurança do paciente: Dados médicos adulterados podem levar a tratamentos incorretos, colocando em risco o bem-estar do paciente.
5. Erosão da confiança: Violações dessa natureza minam a confiança do público nos sistemas e serviços de saúde.

Expondo os elos fracos

1. Vetor de acesso inicial: Durante a análise de um arquivo JavaScript, foi encontrada uma seção de dados contendo endereços da web e chaves de segurança vinculadas à API Admin. Isso revelou problemas críticos de segurança, incluindo chaves expostas e tokens de acesso. Um dos endereços da web representava um risco significativo, pois permitia o acesso não autorizado a detalhes confidenciais do paciente usando apenas o número do laboratório, destacando uma grande lacuna nas práticas de proteção de dados.

‍

‍

‍

‍

‍

‍

2. Relatórios médicos expostos: Os relatórios médicos estavam acessíveis por meio da API Live, utilizando uma combinação do número do laboratório e do sobrenome do paciente. O número do laboratório e o sobrenome, que podem ser extraídos da resposta da API de administração exposta anteriormente. Essa vulnerabilidade permitiu o acesso não autorizado a informações pessoais detalhadas de saúde.

‍

‍

‍

Os relatórios em PDF continham informações pessoais essenciais, como nome completo do paciente, número de contato, condição médica com um relatório detalhado e detalhes relacionados à fatura. O que tornou esse problema ainda mais alarmante foi o uso de números de laboratório sequenciais. Isso significava que, com o mínimo de esforço, indivíduos não autorizados poderiam acessar os relatórios médicos e os dados pessoais de potencialmente milhões de usuários.

3. Acesso aos serviços de e-mail: Além disso, foi identificado um problema no recurso de e-mail que permitia o envio de mensagens para qualquer endereço de e-mail, com a capacidade de personalizar o assunto e o conteúdo. Essa fraqueza pode ser usada indevidamente pelos invasores para enviar e-mails de phishing convincentes, facilitando a enganação dos destinatários e potencialmente permitindo outras ações prejudiciais.

‍

‍

‍

Protegendo a linha de frente digital

O CloudSEK recomenda implementar as seguintes medidas para evitar essas vulnerabilidades:

• Controles de acesso: utilize o OAuth 2.0 e aplique políticas de privilégios mínimos para restringir o acesso à API.
• Rotação de chaves de API: atualize regularmente as credenciais da API e revogue imediatamente as chaves comprometidas.
• Limitação de taxa: implemente controles de taxa de solicitações para impedir ataques abusivos e de força bruta.
• Controle de acesso baseado em funções (RBAC): defina funções com permissões personalizadas para limitar o acesso ao terminal.
• Segurança do API Gateway: use gateways de API para centralizar e aplicar políticas de segurança, incluindo validação e criptografia de solicitações.

Ignorando a segurança? Um risco que você não pode correr.

‍As vulnerabilidades na infraestrutura da API servem como um lembrete importante das consequências da segurança inadequada da API. Com os dados de saúde sendo cada vez mais digitalizados, garantir configurações robustas de API não é mais opcional — é uma responsabilidade fundamental. Na ausência do BeVigil, as organizações podem enfrentar uma batalha difícil contra as ameaças cibernéticas. Conforme demonstrado neste blog, uma única vulnerabilidade pode se transformar em uma crise, colocando em risco a confiança do cliente, a estabilidade operacional e a saúde financeira. Assim, ao integrar o BeVigil Enterprise, as empresas não apenas protegem seus ativos, mas também se posicionam como guardiãs confiáveis dos dados dos clientes. Em um mundo onde as violações de dados dominam as manchetes, o BeVigil Enterprise é a proteção que toda organização precisa. Não deixe que vulnerabilidades definam sua marca. Escolha a segurança proativa com BeVigil.