近日，根据CybelAngel最新发布的为期6个月的调查报告，超过4500万张医学影像和关联的个人身份信息（PII）和个人医疗保健信息（PHI）被泄露。网上曝光。CybelAngel分析团队发现的大量暴露数据包括敏感的医疗记录和图像，例如X射线CT扫描和MRI图像。任何人都可以在线访问这些网络附加存储(NAS)和医学数字成像和通信(DICOM)中的曝光数据。报道称，CybelAngel分析团队使用工具扫描了约43亿个IP地址，在全球医院和医疗中心的网络存储设备中发现了超过4500张医学图像和相关隐私数据暴露。这些图像存储在67个国家（2,140个不安全(NAS)服务器，包括美国、英国、法国和德国）。NAS是一种廉价的存储解决方案，主要由小型公司或个人用来存储数据，而不是更昂贵的专用服务器或虚拟云服务器，而DICOM是医护人员用来传输医学图像的全球标准。研究人员表示，犯罪分子可以通过在暗网上出售这些数据来侵犯人们的隐私，使用图像和数据勒索患者，或者通过使用患者数据建立“幽灵诊所”和“幽灵患者”来诈骗医疗保健系统。患者数据的隐私保护尤为重要，因为世界目前正处于COVID-19大流行之中，PII和PHI会对患者的生活以及他们接触到的人的生活产生重大影响。研究人员指出，攻击者还可以访问数据以篡改患者的医疗记录。每张曝光的医学图像通常包含多达200行的元数据，其中包括患者的姓名、出生日期和地址以及他或她的身高、体重、诊断和其他PHI。任何人都可以在没有用户名或密码的情况下访问图像和数据。事实上，研究人员指出，在某些地方，患者信息存储系统甚至可以使用空白的用户名和密码登录。在一份新闻声明中，分析团队指出：“我们在整个研究过程中甚至没有使用任何黑客工具，这突显了我们找到和访问这些文件的难易程度。这是一个需要引起注意的发现，并表明该行业更严格的安全流程必须到位，以确保医疗专业人员安全地共享和存储敏感的医疗数据。”研究人员分析了通过DICOM图片存档和通信系统(PAC)路径从MRI、CT扫描仪和X射线等设备传输的医学图像和数据。PACS工作站通常包括一个DICOM查看器，它可以作为Web应用程序以及组织和协作工具存在。虽然这些通信和传输方法本质上是安全的，但研究人员发现它们的安全性不足。“更糟糕的是，现有的DICOM应用程序安全措施不是强制性的，也不是默认实施的，”分析师指出。在大多数情况下，数据泄露涉及NAS设备以多种方式暴露数据。其中包括允许FTP和SMB协议提供对设备及其数据的未经授权的第三方访问的不安全端口，以及允许外部人员访问不安全的Web服务的动态DNS(DDNS)。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
