Ứng dụng hẹn hò dành cho người bị nhiễm HIV lộ thông tin của 5000 người dùng

Một nhà nghiên cứu về bảo mật đã phát hiện ra dữ liệu của người dùng vừa bị rò rỉ từ hai ứng dụng về sức khoẻ: Hzone - ứng dụng hẹn hò cho cộng đồng người nhiễm HIV, và iFit - ứng dụng theo dõi thể thao.

Những lỗ hổng bảo mật này, hiện đã được sửa vào đầu tuần, được cho là để lộ thông tin cá nhân của người dùng Hzone từ tháng 11 và iFit từ tuần trước, dựa theo báo cáo của trang blog DataBreaches.net.

Sự cố này vẫn còn ít hơn so với sự cố để lộ thông tin 13 triệu người dùng của ứng dụng MacKeeper, những lổ hổng này đều được phát hiện bởi nhà nghiên cứu bảo mật Chris Vickery. Đáng chú ý, thông tin của người dùng trên ứng dụng Hzone khá nhạy cảm do liên quan mật thiết đến đời tư của những người nhiễm HIV. Những sự cố này phản ánh sự thiếu chú ý về vấn đề bảo mật của các ứng dụng theo dõi sức khoẻ ngày nay, và chuyện trên có thể liên quan đến luật pháp bởi vì bộ luật ở Mỹ rất tôn trọng quyền riêng tư của mỗi cá nhân.

Những thông tin của người dùng ứng dụng Hzone bị lộ bao gồm tên/emai/ngày sinh/tình trạng quan hệ/số lượng con cái/khuynh hướng tình dục và những tin nhắn như "Xin chào. Tôi đã được chẩn đoán từ 3 năm trước. Lượng CD4 và Viral Load tương đối tốt. Do đó tôi không sử dụng thuốc. Kết quả xét nghiệm máu của tôi sẽ có trong tháng sáu. Tôi đang lên kế hoạch để dùng thuốc. Và tôi lo lắng về các tác dụng phụ của thuốc gây ra. Các bạn chia sẻ với tôi về tác dụng phụ của thuốc được không?". Có khoảng 5000 người dùng đã bị lộ thông tin trên.

Trong khi đó, có hơn 567.000 người dùng bị lộ thông tin bên ứng dụng iFit - ứng dụng theo dõi sức khoẻ đồng bộ với các vòng đeo tay thể thao như NordicTrack hay Reebok. iFit còn có thể lưu những thông tin như mật khẩu, cân nặng, giới tính, địa chỉ, thẻ tín dụng, nhịp tim, thời gian tập luyện.

Vickery chia sẻ với trang báo Buzzfeed rằng ông ta phát hiện được lỗ hổng này qua bộ máy tìm kiếm Shodan. Sau khi ông tìm ra thì nhận ra rằng những thông tin này không nên công khai, sau đó ông thông báo việc trên cho trang DataBreaches.net.

Cả Vickery và trang DataBreaches.net đều thông báo lỗi này đến nhóm phát triển Hzone. Đại diện DataBreaches.net cho rằng Hzone không xử lí lỗi trong vòng 5 ngày kể từ lúc được báo và cũng không trả lời tin nhắn của họ kịp thời. "Sự cố của Hzone khiến chúng tôi phát nản vì chúng tôi nghĩ dù đó chỉ là lỗ hổng nhỏ thôi nhưng thông tin trên đó rất nhạy cảm. Hzone đã không phản hồi chúng tôi kịp thời thông qua mẫu liên hệ chúng tôi gửi họ qua website. Và thậm chí cả hai chúng tôi đã gửi email cho họ, nhưng sau đó chúng tôi thấy trạng thái của email là đã mở mà không trả lời." đại diện Vickery và DataBreaches.net chia sẻ.

Vickery đã thông báo lỗi này đến iFit vào ngày 10 tháng 12. Công ty khẳng định rằng những dữ liệu này chỉ là cơ sở dữ liệu thử nghiệm với các dữ liệu thực tế và nói nó sẽ được khắc phục; Trong dầu tuần này, lỗi trên đã được giải quyết xong.

Cả iFit và Hzone đều không có phản hồi khi được hỏi về kế hoạch thông báo cho những người dùng bị ảnh hưởng.

Tham khảo Buzzfeed