患者ポータルのバグが歯科医院間で記録を露出させた
米国で5,000以上の歯科医院で使われている歯科診療所向け管理ソフトの開発会社Practice by Numbersが、ポータル経由で患者記録を露出させるセキュリティ不具合を修正したと、TechCrunchが報じた。この問題は、自身の歯科ファイルを確認するためにポータルを使っていた患者によって発見された。
報道によると、このバグにより、ログイン済みの患者が他の患者に属する文書へアクセスできた。露出したファイルには、個人情報、診療履歴、写真付き身分証明書、その他の文書が含まれていたとされる。文書の取得方法に不具合があったため、これを見つけた患者は、自分のファイルも他人に露出していた可能性が高いと述べた。
簡単に悪用でき、影響は深刻な問題
この脆弱性が注目されたのは、医療情報を扱っていたからだけではなく、悪用が非常に簡単だったからでもある。TechCrunchによると、患者はWebアドレス内の文書番号を変えるだけで他のファイルが見えてしまうことを発見した。文書番号も連番になっているように見えたため、ほとんど手間をかけずに他の記録を推測できる可能性があった。
この組み合わせは重要だ。高度な技術が必要な不具合も十分に危険だが、普通のポータル利用者でも再現できる不具合は、露出の範囲をはるかに広げる。このケースでは、システムへのアクセスに、正当な患者ログイン以外の専門的なツールや内部権限は必要なさそうだった。
患者が報告に苦労した後に修正された
その患者は、まずメール、次にLinkedInで会社に直接知らせようとしたが、TechCrunchに連絡するまで返答はなかったという。報道では、同社が公開していたメールアドレスは配信不能のメッセージを返しており、責任ある開示のための明確な連絡経路がなかったとされる。
この点は、バグそのものと同じくらい重要だ。今回の件は、消費者向け・業務向けソフトウェアに繰り返し見られる問題を示している。企業は利用者に機微なデータを託すよう求める一方で、セキュリティ問題を報告するための見える、実際に機能する窓口を持たない場合が少なくない。脆弱性を見つけた人が適切な担当チームにたどり着けなければ、露出の期間は本来より長く続いてしまう。
一般利用者が見つける脆弱性の広がり
TechCrunchはこの事案を、専門の研究者ではなく一般ユーザーが日常的な製品で深刻なセキュリティ問題を見つける、より大きな傾向の一部として位置づけた。報道では、同様のケースとして、利用者や研究者が注目を集めるまで対応を得られず、報道機関への接触後に動き出した他社の例も挙げられていた。
この傾向は、セキュリティのエコシステムが変化していることを示している。ソフトウェアは小売注文から医療事務まで、日常のサービスに組み込まれており、そうしたシステムに触れる人々が、何かおかしいと最初に気づくことが多い。規制対象や極めて個人的なデータを扱う組織ほど、そうした利用者の声に耳を傾けるための運用上の規律が求められている。
医療ソフトでこの問題が重要な理由
歯科ソフトは病院システムや大手保険会社ほど注目されないかもしれないが、診療所のポータルに保存される情報は非常に機微なものになり得る。診療履歴、身分証明書、治療記録はすべて患者アカウント内に含まれうる。したがって、アカウントの境界を越える不具合は、プライバシー、信頼、そして場合によってはコンプライアンス上のリスクを一度に生み出す。
元報道は、影響を受けた患者数を明示しておらず、Practice by Numbersの修正で特定のバグは解消されたようだ。それでも、この事例は、Webポータルでのたった一つの認可ミスが、通常の文書ビューアを一気に多くの利用者に影響するプライバシー侵害の場へと変えてしまうことを示している。
この出来事が示すもの
直近の話は単純だ。患者が不具合を見つけ、その不具合が他の患者の記録を露出させ、問題が公になった後に会社が修正した。より大きな教訓は、セキュリティはコードをパッチすることだけではないということだ。明確な受付経路、機能する連絡手段、そして未依頼のバグ報告を雑音ではなく運用上の優先事項として扱う仕組みも必要だ。
患者向けWebアプリを通じて提供される医療関連サービスが増えるほど、この違いは重要になる。企業は発見後にバグを塞げるが、利用者が不具合と報告システムの両方が同時に機能しなかったと知れば、信頼の回復はより難しくなる。
この記事はTechCrunchの報道に基づいています。元の記事を読む。
Originally published on techcrunch.com
