Tajszámok a kukában

Több mint 3 ezer magyar állampolgár tajszáma és egyéb egészségügyi adata szerepelt egy hulladékgyűjtő konténerbe dobott számítógépen, amelyről feltehetően az adathordozót leselejtező orvosi rendelő elmulasztotta elvégezni az adattörlést.

Egy informatikai biztonsággal foglalkozó szakember talált rá a kidobott számítógépre, majd a Kiberblog szerzőjével közösen ellenőrizte, hogy milyen adatok maradhattak annak merevlemezén. A visszaállítás után a szakemberek a merevlemezről képesek voltak kinyerni 3256 páciens tajszámát, születési és más személyes adatait, kezelési történetét, valamint 9500 egyedi e-mail-címet, több mint 200 ultrahangfelvételt, 4000 fotót, végül pedig 300 bírósági végrehajtással foglalkozó dokumentumot.

A kidobott számítógépet a hulladékgyűjtő konténerből kimentő szakember Solymos Ákos, az informatikai biztonsággal foglalkozó Quadron cég munkatársa, aki amellett, hogy több egyetemi tankönyv társszerzője, Frici, Fülöp és a hackerek címmel mesekönyvet is írt a számítógépes biztonság kérdéseiről. Miután a leporolt lemezről Solymos egy forensic célú mentést készített, az adatok feltárásában Kocsis Tamás segítségét kérte, aki a Kiberblog nevű IT- és infromációbiztonsági szakblog szerzője.

A két szakember egy ingyenes eszköz, az Autospy szoftver segítségével tárta fel az adathordozóról készült lemezkép tartalmát, és azon átfogó kereséseket indított jelszavak, e-mail-címek, telefonszámok és más adatok után. Ennek során megtalálták többek között a receptírásra használt ORKA program és az OEP Vényíró szoftver adatbázisait, amelyekben több ezer beteg személyes és egészségügyi adatai voltak tárolva. A szakemberek egy blogbejegyzésben hívták fel a figyelmet a biztonságos és helyreállíthatatlan adattörlés fontosságára, és részletesen ismertették eljárásukat és a megtalált adatok listáját.

Máskor is megtörténik

A történtek kapcsán fontos hangsúlyozni, hogy nem sajnos nem egyedi esetről van szó. A Blancco kutatásából már korábban kiderült, hogy az eBay-en árusított merevlemezek 42%-a tartalmaz még személyes adatokat.

Tapasztalatunk szerint Magyarországon is rendszeresen előfordul, hogy a vállalkozások személyes adatokkal együtt selejtezik le a régi számítógépeket és mobiltelefonokat, annak ellenére, hogy a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) 2019-es állásfoglalása egyértelműen a jegyzőkönyvezett és megfelelő módszerrel végzett adattörlést javasolja, és a vonatkozó jogszabályok is erre kötelezik a szervezeteket.