Una massiccia perdita di database sui vaccini espone gli ID di milioni di indiani | CABLATO

“I dati coinvolti con le entità governative sono organicamente molto grandi”, afferma Tejasi Panjiar, consulente associato presso la Internet Freedom Foundation, un’organizzazione che sostiene i diritti digitali. “Ecco perché devono esserci standard di sicurezza dei dati molto rigidi per le entità governative”.

Panjiar ha inoltre affermato che la preoccupazione è che l’India non abbia una politica di sicurezza informatica e che anche l’attuale quadro di protezione dei dati “tolga quell’aspetto del risarcimento che gli utenti interessati otterrebbero”, rendendo tali fughe di notizie un motivo di preoccupazione ancora maggiore. “Penso che sia un momento di preoccupazione per tutti coloro che sono stati vaccinati attraverso CoWIN”, ha aggiunto Panjiar.

Il ministero della salute ha affermato che le affermazioni secondo cui il portale CoWIN è stato violato sono “prive di fondamento” e che al Computer Emergency Response Team, l’agenzia responsabile della risposta agli incidenti di sicurezza informatica, è stato chiesto di indagare.

Il ministro dell’IT indiano, Rajeev Chandrasekhar, ha twittato che i dati a cui accede il bot provengono da un “database di attori di minacce” e che “non sembra che l’app o il database CoWIN sia stato violato direttamente”.

Un rapporto indipendente della piattaforma di monitoraggio del rischio digitale CloudSEK sembra convalidare questo in una certa misura. La ricerca dell’azienda suggerisce che invece di avere accesso all’intero database o back-end CoWIN, gli hacker potrebbero invece essersi impossessati di più credenziali dagli operatori sanitari, consentendo loro un accesso più limitato ai record.

“Ciò che CloudSEK sa con grande sicurezza è che gli attori delle minacce hanno accesso a più credenziali che appartengono agli operatori sanitari che potrebbero essere utilizzate per accedere al portale CoWIN per quei singoli operatori sanitari e ai dati a cui hanno accesso”, afferma Rahul Sasi, amministratore delegato di CloudSEK. “Ciò che ipotizziamo è anche una sorta di API non autenticata che avrebbe consentito agli aggressori di interrogare dettagli utente specifici. Ma non ci sono prove in questo momento.

CoWIN è stato lanciato nel gennaio 2021 come fondamento della campagna di vaccinazione indiana. La piattaforma, disponibile anche come app mobile, è stata utilizzata dalle persone per prenotare i propri slot vaccinali e generare un certificato di vaccinazione per sé e per i propri familiari. Il governo dell’epoca fu criticato per aver reso CoWIN l’unico modo per gli indiani di prenotare un appuntamento per la vaccinazione, escludendo milioni di persone che non avevano accesso a uno smartphone o a Internet.

Non è la prima volta che emerge la notizia di un database CoWIN. Nel 2021, Dark Leak Market, un gruppo di hacker, ha dichiarato di avere accesso ai dati di 150 milioni di indiani registrati su CoWIN. Il ministero della salute ha negato le affermazioni, affermando che la piattaforma memorizza “tutti i dati in un ambiente digitale sicuro e protetto”. All’epoca, i ricercatori di sicurezza informatica affermarono di sospettare che la “fuga di notizie” fosse una truffa.