Studenten vinden 25 lekken in websites Nederlandse ziekenhuizen
Door bLACKADDER op vr 22-06-2012, 15.52
In de websites van een aantal Nederlandse ziekenhuizen en grote zorginstanties, is een groot aantal lekken gevonden. De Groningse student Daniël Heesen heeft samen met medestudenten Jan Hendrik Mulder en Niek Jan van den Hout ontdekt dat de beveiliging in veel gevallen ondermaats is. In totaal zijn 94 websites door het studententrio gecontroleerd.
In de meeste gevallen gaat het om relatief onschuldige kwetsbaarheden, waarbij de aanvaller kwaadaardige code kan injecteren op de website. Het slachtoffer dient vervolgens op een geprepareerde link te klikken om het lek actief te kunnen misbruiken. Desalniettemin zijn enkele grote ziekenhuizen, waaronder het VU Medisch Centrum en het Martini Ziekenhuis kwetsbaar voor dit type aanval.
Toch is in zeven gevallen sprake van een ernstiger lek. Aanvallers kunnen op deze websites in theorie gevoelige informatie uit de websitedatabase achterhalen. Het valt niet uit te sluiten dat deze informatie gebruikt kan worden om verdere toegang te verkrijgen tot de (interne) systemen van de zorginstelling, waar mogelijkerwijs gevoelige patiëntgegevens staan opgeslagen. Enkele websites die dit type lek bevatten, waaronder die van het Deventer Ziekenhuis en TweeSteden Ziekenhuis, zijn inmiddels voorzien van de nodige aanpassingen om de aanval onmogelijk te maken.
Allen zorginstellingen wiens website kwetsbaarheden bevatten, hebben een brief ontvangen. "We hebben een 'snelle scan' toegepast, waarbij we enkele beveiligingslekken gevonden hebben. We willen met dit onderzoek aantonen dat ziekenhuizen zich meer moeten gaan bemoeien met web security", aldus Daniël Heesen. Hij sluit hierbij echter niet uit dat de onderzochte websites nog niet geheel "lekvrij" zijn.
Heesen kwam in november 2011 in het nieuws vanwege zijn onderzoek naar het Thuiswinkel Waarborgkeurmerk. Hij vond toen 160 websites van webwinkels met gebreken. Na dit onderzoek heeft de organisatie van Thuiswinkel Waarborg de beveiliging van de websites van haar leden aangescherpt. Plaatselijke media hebben het nieuws omtrent de ziekenhuiswebsites inmiddels opgepakt.