Slo-Tech - Tudi danes nadaljujemo s spomladanskim čiščenjem slovenskih Internetov. V prejšnjih primerih smo našli bolnišnico, ki je na splet odložila osebne podatke pacientov, spletni trgovini, ki sta objavili račune svojih strank in društvo, ki je objavilo predračune za majice na teku. Tokrat predstavljamo primer, ko se je ta ista "nerodnost" (šlamastika) pripetila multinacionalki.

Mednarodni velikan bele tehnike Beko posluje na petih kontinentih, svoje izdelke pa prodaja tudi v Sloveniji. Zato je »napaka« na njihovi spletni strani, ki je omogočala dostop do različnih osebnih podatkov njihovih strank, presenečenje. Mislili smo, da se velikim, ki približno razuzmejo GDPR in ZVOP, imajo pravne službe in oddelke za marketing (ki sodelujejo z omenjenimi...

Slo-Tech - Društvo Istrski maraton, ki je organizator istoimenskega maratona na slovenskem Primorju, za svojo spletno stran uporablja platformo Wordpress. Organizatorji mednarodnega dogodka (spletna stran je tako v Slovenščini kot Italijanščini in Angleščini) so imeli podobno »učinkovito začito« na spletni strani kot spletna trgovina Kidstar.si. Če je uporabnik k URL naslovu spletne strani dodal »/uploads«, je lahko dostopal do vseh računov in dobavnic (popravek: do 10 predračunov generiranih v spletni trgovini), ki jih je društvo izdalo.



Tako je lahko kdorkoli, brez dodatnega računalniškega znanja, dostopal do osebnih podatkov udeležencev maratona in kupcev izdelkov, ki jih društvo prodaja prek spleta.
Primeri računov strank:






Informacije o varnostnem incidentu smo pred objavo članka...

Slo-Tech - Podjetje Maneks plus za svojo spletno trgovino Kidstar.si, prek katere prodaja obleke, igrače in druge izdelke za najmlajše, uporablja platformo WordPress. Če je uporabnik k URL naslovu spletne trgovine dodal »/uploads«, je lahko dostopal do vseh računov in dobavnic, ki jih je podjetje izdalo. Tako je lahko kdorkoli, brez dodatnega računalniškega znanja, dostopal do osebnih podatkov strank podjetja.




Primeri dobavnic in računov strank:





Informacije o varnostnem incidentu smo včeraj pred objavo članka posredovali Informacijskemu pooblaščencu, z objavo pa počakali do umika spornih vsebin s spleta.

Slo-Tech - "Uhajanja podatkov ni bilo", je za različne slovenske medije na šlamastiko z osebnimi podatki svojih pacientov prek svoje PR službe odgovorila Splošna bolnišnica Izola. V odgovoru so podali večje število argumentov, zakaj naše poročanje ni bilo »pravilno«. V nadaljevanju bomo analizirali glavne argumente bolnišnice Izola in pokazali, kako smo prišli do dejstev, ki smo jih podali v članku Nov vrhunec digitalne transformacije v slovenskem zdravstvu: do podatkov zdravstvenega stanja Primorcev kar prek Googla.

1. »Uhajanja podatkov ni bilo«

Bolnišnica Izola se brani, da je Google javnosti omogočal dostop le do t.i. »snapshotov« oz. »posnetkov splenega mesta«, na katerem so se nahajali izvorni dokumenti. Dostop do samih izvornih dokumentov prek Googla naj ne bi bil mogoč.

Vendar, Google indeksira samo dokumente, ki so javno objavljeni na spletni strani. Sam obstoj posnetkov v Googlovem indeksu dokazuje, da so bili izvorni dokumenti javno dostopni na spletni strani SB Izola.

Google...

Slo-Tech - V lanskem letu se je v Sloveniji zgodil eden večjih incidentov na področju varstva osebnih podatkov v zdravstvu. V eni večjih slovenskih zdravstvenih ustanov niso bili ogroženi le osebni podatki zaposlenih, pač pa tudi osebni podatki pacientov. Dostopna je bila zdravniška dokumentacija, vključno z napotnicami, ki vsebujejo zelo občutljive osebne podatke pacientov. Vse skupaj je bilo široko odprto v splet, spletni strežnik zdravstvene ustanove pa sploh ni uporabljal HTTPS zaščitene povezave.

In zakaj javnost o tem incidentu ničesar ne ve? Preprosto zato, ker v Sloveniji prevladuje kultura skrivanja napak in pometanja le-teh pod preprogo. Namesto, da bi se o napakah pripravilo izčrpno poročilo, ki bi vsebovalo...