Slo-Tech - Podjetje Maneks plus za svojo spletno trgovino Kidstar.si, prek katere prodaja obleke, igrače in druge izdelke za najmlajše, uporablja platformo WordPress. Če je uporabnik k URL naslovu spletne trgovine dodal »/uploads«, je lahko dostopal do vseh računov in dobavnic, ki jih je podjetje izdalo. Tako je lahko kdorkoli, brez dodatnega računalniškega znanja, dostopal do osebnih podatkov strank podjetja.




Primeri dobavnic in računov strank:





Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.

Slo-Tech - Računi, izdani strankam spletne trgovine Proteini.si s športno prehrano in dodatki k prehrani, so bili prosto dostopni na na spletišču http://izpis.proteini.si/&#8221 (spletna stran je v tem času delovala samo na nešifrirani HTTP povezavi).

Brskanje po strežniški mapi je bilo sicer onemogočeno, zato “na prvo žogo” ni bilo mogoče dobiti seznama vseh računov. Vendar pa je bilo do seznama vseeno mogoče dostopati, in sicer tako, da smo spreminjali številke v imenu datoteke (npr. namesto “1-1-12645.pdf” bi zapisali “1-1-12644.pdf”, itd.).


Iz priloženih zaslonskih posnetkov je tako razvidno, da je bilo mogoče videti račune izdane pravnim in fizičnim osebam, pri čemer je bilo iz računov mogoče videti imena in naslove ter prebivališča fizičnih oseb, pa...

Slo-Tech - "Uhajanja podatkov ni bilo", je za različne slovenske medije na šlamastiko z osebnimi podatki svojih pacientov prek svoje PR službe odgovorila Splošna bolnišnica Izola. V odgovoru so podali večje število argumentov, zakaj naše poročanje ni bilo »pravilno«. V nadaljevanju bomo analizirali glavne argumente bolnišnice Izola in pokazali, kako smo prišli do dejstev, ki smo jih podali v članku Nov vrhunec digitalne transformacije v slovenskem zdravstvu: do podatkov zdravstvenega stanja Primorcev kar prek Googla.

1. »Uhajanja podatkov ni bilo«

Bolnišnica Izola se brani, da je Google javnosti omogočal dostop le do t.i. »snapshotov« oz. »posnetkov splenega mesta«, na katerem so se nahajali izvorni dokumenti. Dostop do samih izvornih dokumentov prek Googla naj ne bi bil mogoč.

Vendar, Google indeksira samo dokumente, ki so javno objavljeni na spletni strani. Sam obstoj posnetkov v Googlovem indeksu dokazuje, da so bili izvorni dokumenti javno dostopni na spletni strani SB Izola.

Google...

Slo-Tech - Izvidi in napotnice Slovencev, ki so se naročili na pregled v bolnišnici Izola od začetka leta 2016, so bili do preteklega tedna dostopni kar prek Googla. Kot je razvidno iz priloženih slik, je prišlo do (tudi za slovenske razmere) neverjetne »šlamastike« pri varovanju osebnih zdravstvenih podatkov pacientov bolnišnice. Vse podrobnosti sicer še niso znane, vse pa kaže, da je IT sistem avtomatično objavljal izvide in napotnice na spletu. Ker Google (in seveda drugi spletni iskalniki) avtomatično indeksira vso vsebino, ki ni zaščitena na platformah, kot je WordPress, je lahko kdorkoli na svetu preverjal zdravstveno stanje Primorcev.

Informacijski pooblaščenec je bil o »nepravilnostih« obveščen pretekli petek in je takoj odredil bolnišnici umik dokumentov s spleta. Kar...

Slo-Tech - Ko smo pred kratkim razkrili, da spletišče UKC Ljubljana, namenjeno naročanju pacientov na preglede preko spleta, ni uporabljalo HTTPS šifriranja, smo opozorili tudi na 14. člen Zakona o varstvu osebnih podatkov. Ta določa, da se “pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom.” UKC Ljubljana je po našem opozorilu na svoje spletišče namestil HTTPS šifriranje, sicer popolnoma neustrezno, a vendarle.

Kako pa je z ostalimi zdravstvenimi ustanovami?

Problema uporabe kriptografskih metod pri...

Slo-Tech - Finančna uprava RS je 31. marca zavezancem poslala prvi sveženj informativnih izračunov dohodnine za leto 2016. Na svoji spletni strani so zavezancem omogočili, da preverijo ali je bil njihov informativni izračun dohodnine že odpremljen. Preverjanje poteka tako, da zavezanci v okence vpišejo svojo davčno številko, ki se posreduje spletišču eDavki, ki nato sporoči ali je bil informativni izračun že odpremljen ali še ne.

A težava je v tem, da je spletišče FURS (fu.gov.si) dostopno samo preko nešifrirane, HTTP povezave. Ko na to povezavo vpišemo davčno številko, se - kot je razvidno iz izvorne kode spletne strani - posreduje na nešifrirano različico portala eDavki. Če je davčna številka 10000003, je HTTP klic na eDavke sledeč:...

podcrto.si - Policija je januarja in februarja letos brez sodne odredbe od Primorskega vala zahtevala podatke o piscu komentarjev na spletnem portalu, čeprav je že decembra lani sporočila, da je s to nezakonito prakso prenehala.

Drugega decembra lani je Informacijski pooblaščenec razkril dolgotrajno nezakonito prakso policije pri pridobivanju podatkov o bralcih spletnih portalov od upravljavcev portalov. Policija je namreč podatke o identifikatorjih internetnega priključka bralcev (IP naslovih) redno pridobivala brez odredbe sodišča, kar je v nasprotju z veljavnim pravnim redom RS. Ustava namreč določa, da lahko organi pregona podatke o komunikaciji posameznikov pridobivajo le na podlagi sodne odredbe (za namene kazenskega postopka ali varnosti države).

Januarja letos smo se pred objavo decembrskih ugotovitev Informacijskega pooblaščenca s prošnjo za komentar obrnili tudi na policijo. Ti so nam v svojem odzivu med drugim zapisali: »Zaradi ugotovitev nadzora inf. pooblaščenca smo v policiji...