edición general
544 meneos
4626 clics
Un fallo en la web de Sanidad de Madrid deja al descubierto los datos del rey y miles de personas

Un fallo en la web de Sanidad de Madrid deja al descubierto los datos del rey y miles de personas

El portal habilitado por la Comunidad de Madrid para obtener el certificado digital COVID, puesto en marcha el 7 de junio, permitía a cualquier usuario acceder a datos personales de miles de ciudadanos. Un fallo de programación hacía posible que al introducir un número de DNI en la url del sistema, este devolviera el nombre completo de la persona a la que pertenece ese DNI, su dirección, su teléfono móvil y el fijo.

| etiquetas: fallo , web , sanidad , madrid
227 317 4 K 476 tecnología
98 comentarios
227 317 4 K 476 tecnología
Comentarios destacados:                      
  1. kain_666 #1 kain_666
    Por 40 segundos. Te odio.
    7 K 67
  2. #2 --681271--
    Perdón por el voto, es mi primer día!
    0 K 7
  3. Verdaderofalso #3 Verdaderofalso
    Uf menuda cagada
    7 K 88
  4. A_D #4 A_D
    #2 se puede retirar durante unos segundos si hay equivocación, no pasa nada esas cosas pasan ;)
    3 K 47
  5. tremebundo #5 tremebundo *
    ¿Del titular se desprende que el rey no es una persona?
    13 K 105
  7. Unregistered #7 Unregistered *
    #6 No. La enviaste unos segundos después y lo sabes :-)
    8 K 102
  9. A_D #9 A_D
    #6 lo siento, pero la duplicada es la tuya
    4 K 66
  10. #10 DPM
    #9 FIGHT!!
    7 K 92
  11. Unregistered #11 Unregistered *
    edit
    0 K 12
  12. #12 DPM
    ¿Alguien se ha quedado con el número del rey?
    2 K 34
  13. cenbpalencia #13 cenbpalencia
    #9 no estoy de acuerdo
    4 K -12
  14. A_D #14 A_D
    #10 xD
    0 K 20
  15. Elenio #15 Elenio
    #1 Código azul, confirmamos que el vehículo ya está de camino  media
    5 K 45
  16. Verdaderofalso #16 Verdaderofalso
    #8 al informático xD
    0 K 15
  17. #17 Tensk
    Hoy, en nuestra sección "Cagadas épicas"...
    2 K 20
  18. #18 Tensk *
    #12 Si te refieres al DNI es un número de los primeros, en plan en los 20 primeros o así.
    4 K 38
  19. A_D #19 A_D
    #13 me parece muy bien, es bastante sencillo mirar cual está una antes que otra y también puedes ver el resto de votos de la comunidad. Es más, ni te he votado negativa para que puedas descartar y no pierdas karma
    2 K 49
  20. cenbpalencia #20 cenbpalencia
    #19 que buena persona eres.
    7 K -30
  21. Ehorus #21 Ehorus
    #16 pero al de la sub - sub - sub - sub - sub ....
    ..
    ...
    ....
    .....
    suncontrata
    12 K 108
  22. #22 DPM
    #18 No no, lo decía lo decía por el número del móvil, que pone que era uno de los datos que han quedado públicos jaja
    1 K 24
  23. cenbpalencia #23 cenbpalencia
    #19 como para llevarla la contraria al número 1.
    3 K -17
  24. NinjaBoig #24 NinjaBoig
    #5 Claro q no.
    Por algo es inimputable, pq no se rige por las leyes humanas. :-D
    6 K 66
  25. mudit0 #25 mudit0
    Y otra más
    1 K 14
  26. phillipe #26 phillipe
    ¿Por qué cuanto más populistas menos cuidado tienen con nuestros datos personales? Porque en Cataluña y el censo durante el 1 de octubre...
    0 K 10
  27. AubreyDG #27 AubreyDG
    Dame una I
    2 K 16
  28. mariKarmo #28 mariKarmo *
    Qué manía le tiene Ayuso al Rey. Qué fijación. Que Cersei eres. Mala!!
    10 K 97
  29. #29 Tensk
    #22 Dudo bastante que sea un teléfono personal real. Quiero decir, sí será Real, pero no real. No sé si realmente me explico :shit:
    7 K 46
  30. #30 DPM
    #29 Jajaja, se ha entendido
    1 K 11
  31. ktzar #31 ktzar
    Es lo que pasa cuando tienes que hacer 17 webs y no una. Qué pena.
    3 K 32
  32. #32 --349396--
    #21 No hombre, ahora con ayuso las cosas se hacen de otra manera. Le habrá dado el contrato directamente al chiringuito de algún amigo, como con el de los hoteles, sin un concurso público decente, por eso las chapuzas. Bueno, igual su amigo es el de algún macrogrupo de los que suelen aparecer en los chanchullos del PP.

    Lo que sí es claro, es que a este paso, Felipe "el compiyogui preparao" seguramente se harte pronto de la choni de Ayuso.

    CC: #8 #16
    2 K 24
  33. #33 candonga1
    A ver cómo actúa la Agencia de Protección de Datos.
    1 K 27
  34. EmuAGR #34 EmuAGR
    #15 En mis tiempos un código azul era el ataque de un ángel. :shit:
    5 K 45
  35. Fingolfin #35 Fingolfin
    #31 Lo más ridículo es que sería posible juntar presupuestos para una sola web y reusarla todos, pero no es así.
    3 K 41
  36. nemesisreptante #36 nemesisreptante
    #31 pudiendo hacer una para toda Europa, o mejor para todo el mundo, lo demás es tirar el dinero
    2 K 30
  37. #37 SrEstaire
    #5 ¿Jurídica?
    1 K 21
  38. EmuAGR #38 EmuAGR
    #26 Prisas y seguridad informática son antagónicos.
    1 K 20
  39. #39 NightRiders
    "Del rey y miles de personas". Para qué decir miles de personas, entre ellas el rey. Si es que ya sabía yo que no somos iguales :-D
    1 K 22
  40. #40 Highway
    A saber cuanto les han colado por esa chapuza
    1 K 12
  41. AubreyDG #41 AubreyDG
    #27 A ver por favor colaboren, que entre todos tenemos que formar la palabra I N D R A.
    3 K 19
  42. johel #42 johel *
    #39 porque no lo somos, el rey es la encarnacion de la definicion supremacismo; "Ideología que defiende la superioridad de un colectivo frente a los demás por razones étnicas, biológicas, culturales, religiosas o de origen".
    De todas formas es entre poco y nada probable que los datos de un rey aparezcan en ese listado, yo diria que lo han metido con calzador para llamar la atencion. Como dice el meme...  media
    2 K 19
  43. #43 --80628--
    #13 No importa. La enviaste más tarde que esta y está.
    0 K 9
  44. Kasterot #44 Kasterot
    #5 el rey el primer!!! Que para eso es el más español.
    El resto de ciudadanos Somo contingentes pero el imprescindible :roll:
    2 K 27
  45. Thony #45 Thony *
    #5 O que al resto que le den.

    Este "bug" lo he podido ver desde el principio. No solo a través del DNI, sino que a través del nombre también se podía buscar cualquier persona. Ciertamente no he probado a buscar el nombre de ningún personaje de la Casa Real, pero cualquier otro ciudadano en el sistema de salud madrileño, podía ser localizado con su DNI, nº de teléfono, dirección...

    De esto nos dimos cuenta desde el primer día en el laboratorio, pero ni nos sorprendió. Con el COVID se han superado todas las barreras de la LOPD habidas y por haber, así que ya ni nos extrañaba. Muchas empresas reclaman el resultado de la PCR de sus trabajadores, antes incluso, de que se notificase al mismo trabajador. Que si ya de por si, ceder a la empresa resultados médicos de sus trabajadores chirría por todos lados, encima quererlos en primicia resultaba insultante.

    Referente a lo descrito en la noticia, asegurar que el portal no fue explotado, supongo que querrá decir que no se puso a ningún bot a probar todos los DNIs y obtener todos los datos posibles. Pero que cualquiera que tuviese acceso buscase a quién le dase la gana, y quedase registrado...

    Me resultaría curioso saber si el portal ha sido creado por el personal de la Consejería de Sanidad, o fue subcontratado a alguna empresa privada. Es curioso que no lo mencione la noticia.
    11 K 100
  46. kaysenescal #46 kaysenescal
    Sistema apagado hasta que lo arreglen JEJEJEJEJ

    portalciudadanoccd.sanidadmadrid.org/ohgreencardciu
    1 K 10
  47. tremebundo #47 tremebundo *
    #26 ¿Tú crees que si hubiese estado a cargo un menistro del Partido Podrido No Populista, esto no hubiese pasado?

    Edit: Perdona, acabo de ver que ha sido la de las cañas y la libertá
    2 K 22
  48. MiguelDeUnamano #48 MiguelDeUnamano
    #31 También ves lo negativo, de momento hay 16 que están a salvo.
    2 K 27
  49. #49 ElSev
    #41 yo no colaboro a formar palabras que me meten strike
    2 K 38
  50. #50 colorincolorado
    #39 claro que no todos somos iguales, hay quien sabe redactar y quien no.
    0 K 7
  51. #51 ElSev
    #33 ¿la de Madrid que dirigía Abascal?
    3 K 38
  52. ktzar #52 ktzar
    #36 tienes razón. Para la próxima pandemia, una en cada municipio
    0 K 9
  53. Matrix777 #53 Matrix777
    Wayback Machine
    1 K 12
  54. io1976 #54 io1976
    ¿Quién le ha hecho la web de sanidad a la Comunidad de Madrid? ¿el Corte Inglés?
    3 K 24
  55. Kleshk #55 Kleshk
    #34 ¿Como? ¿Nos ataca un Ángel? ¿Donde está Shinji? ¡Activen el EVA-01!  media
    8 K 66
  56. MellamoMulo #56 MellamoMulo
    Ayuso ya le dejo las cosas clarinete al Rey con lo de los indultos. Primer aviso Felipe
    0 K 14
  57. #57 hydro
    ¿Pero Elvis no había muerto?
    0 K 6
  58. Anomalocaris #58 Anomalocaris *
    #44 Al contrario, el titular recuerda mucho al famoso "Mueren en un accidente tres personas y un gitano"
    0 K 7
  59. dragonut #59 dragonut
    La subcontrata de la subcontrata de la subcontrata...
    0 K 9
  60. tarkovsky #60 tarkovsky
    Típico fallo por usar GET en lugar de POST. ¿Quién hizo la web, un conserje?
    0 K 10
  61. teseo #61 teseo *
    Pues nada, una excusa más para contratar a una empresa de fuera para hacerle otro servicio web a la CAM. ¿Se lo llevará informática El Corte inglés? ¿Everis?

    Madrileños, estáis en las mejores manos.
    0 K 9
  62. dilsexico #62 dilsexico
    #24 Es inimputable porque una furcia natatoria le tiro una espada
    5 K 39
  63. #63 Suikoden *
    Esto es muy extraño, no sólo que sea la Comunidad de Madrid quien afirme que Telemadrid publica un bulo sino que no explica en qué consiste la falsedad:
    twitter.com/ComunidadMadrid/status/1412851120330919946
    0 K 10
  64. elGude #64 elGude
    #60 y no ponerle un token de autorización. Si fuese por post con postman o incluso con el firefox podrías hacerlo igual
    3 K 26
  65. #65 retoqueteate
    Ya cualquiera puede ser un hacker xD xD
    0 K 7
  66. mre13185 #66 mre13185 *
    #32 Que pregunten en Madrid Digital a cierta subcontrata que empieza por A y es de por ahí del sur. O a esa otra que empieza por E y acostumbran a echar muchas horas extras sin pagar.

    Pero intenta cometer un fallo así en la empresa que estoy ahora y en 10 segundos tienes a los marines apuntándote a la cabeza. Esto me suena a la misma cagada que pasó con el Lexnet hace ya bastante.
    3 K 30
  67. obi_juan #67 obi_juan
    #27 ¿Es una I mayúscula o una l minúscula?
    1 K 13
  68. dilsexico #68 dilsexico
    #31 Que quieres? que dejen al descubierto los datos del pais entero?
    0 K 6
  69. AubreyDG #69 AubreyDG
    #67 claramente una I.
    0 K 10
  70. neo1999 #70 neo1999
    #29 Hola, sí, esto... Me pasa con Juancar? Soy su mejor colega, sabe?
    0 K 10
  71. Tolodomonte #71 Tolodomonte
    #55 saaauuu kokuuu naghirokoosheee...
    2 K 13
  72. #72 --563099-- *
    #62 Eso fue en la Pérfida Albión. Aquí es inimputable por que a Paca la Culona le pareció buen negocio...
    4 K 44
  73. #73 --349396--
    #66 No te digo que no. no Cuál fue esa cagada con lexnet? (me refiero a cual fue la causa)
    1 K 9
  74. mre13185 #74 mre13185
    #73 Lo mismo exactamente, un cambio en un parámetro referente a un expediente (todos los expedientes jurídicos estaban referenciados por un identificador único numérico, creo), cambiando dicho parámetro podías ver la información de cualquier expediente en concreto. Creo que era en un servicio expuesto públicamente a través de una url sin autenticar.
    1 K 24
  75. vilujo #75 vilujo
    #54 esos ya tiraron la toalla con la informática... Iecisa ya no existe como tal.
    0 K 6
  76. avalancha971 #76 avalancha971
    ¿Soy el único que se ha puesto a leer el trozo de código que aparece?

    No sé qué me parece más cutre, si lode "fathers_family" y "mothers_family" para el primer y segundo apellido, siendo conceptos que desde hace años no existen en España (el primer apellido puede ser paterno o materno)...

    O que en el sistema el Rey aparezca registrado con el nombre de "FELIPE DE", como primer apellido "BORBON Y DE", y como segundo apellido "GRECIA".
    0 K 7
  77. #77 Lou74
    #45 hubo un día, no recuerdo ahora exactamente, que cambiaron los móviles de la base de datos y no podías confirmar tu identidad en la autocita. Lo arreglaron al día siguiente y pudo estar relacionado con alguien que tuviera conocimiento de este fallo de seguridad.
    1 K 19
  78. #78 david_est
    Yo lo lei en twitter el 31 de mayo pasado twitter.com/AitorMagan/status/1399455686849933312?s=20
    3 K 36
  79. arc97 #79 arc97
    Este es uno de los motivos por los que el software desarrollado para la administración pública debería ser libre. Si cualquiera puede revisar el código es más fácil detectar los errores.
    Además está pagado por todos, por lo que más motivo para que sea público.
    0 K 7
  80. #80 aiguy *
    #76 Vamos a ponernos pedantes :-P

    - No es código, son datos (json)
    - Lo del "father-family" y "mother-family" viene del especificación FHIR (Fast Healthcare Interoperability Resources) www.hl7.org/fhir/extension-humanname-mothers-family.html , así que no es achacable a este sistema
    - En la forma de partir el nombre y los apellidos ya te doy la Razón... aunque probablemente quién lo metió lo hizo así porque sabía que si ponía "de Borbon" como apellido se indexaba por la "de" en vez de por "Borbon".
    4 K 41
  81. #81 --432627--
    #66 Pues sin pretender ser abogado del diablo pero no me parece correcto que un error así se le achaque a una sola persona, ni en una consultora de las del montón ni en la empresa en la que estas ahora. Debe haber protocolos, procedimientos, etapas... llámalo como quieras. Si sucede es un error en toda la cadena y por tanto un error del conjunto.
    0 K 7
  82. NinjaBoig #82 NinjaBoig
    #62 La africana o la europea? :-D
    1 K 21
  83. neotobarra2 #83 neotobarra2
    Glups, pensé que era duplicada de esta otra:

    www.eldiario.es/madrid/madrid-deja-descubierto-datos-personales-pacien

    Pero resulta que son dos fallos diferentes...
    1 K 19
  84. #84 mcfgdbbn3 *
    #15: Yo acabo de terminar de marcar el nuevo número de emergencias. 01189998819991197253

    A todo lo demás: #ayusadas.
    2 K 20
  85. socialista_comunista #85 socialista_comunista
    #70 nisisito transfirencia para tiu patre
    0 K 8
  86. Arcueid #86 Arcueid
    Es la segunda vez que pasa. ¡Es alucinante! ¿No aprenden?
    Y tienen la jeta de decir que "La incidencia no afectaba a datos clínicos y por supuesto no comprometía la alteración alguna de información en las bases de datos. Insistimos en qué ya está bloqueada"
    Sólo han dejado al descubierto los datos relativos de contacto a cada persona y su DNI, los teléfonos y la dirección postal. Maravilloso, una exposición de datos personales. Pero al menos no eran datos sensibles, "podría ser peor".

    Por cosas así debería caer una multaza a la empresa que comete esos fallos, y si reinciden, sanciones mayores. Se están tratando datos de cada persona y deberían tratarlos como si les fuese el trabajo en ello. No sé si lo hacen, pero la AEPD o bien no parecía muy activa ante denuncias o bien no era muy comunicativa. Y siendo algo público, no sé yo si harán algo e irán a por el responsable del tratamiento.
    0 K 9
  87. Calomar #87 Calomar
    Da la sensación de que todo lo que es informática en la CAM es una auténtica basura hecha por becarios
    El que haya tenido que pedir una beca de infantil online lo sabrá: información inconexa entre páginas, errores aleatorios, firmas digitales que se fuma al subir documentación e imposibilidad de reiniciar el proceso si da fallo
    0 K 10
  88. el-brujo #88 el-brujo
    #61 Indra xD
    0 K 9
  89. elkaladin #89 elkaladin
    #64 curl y un sh y a sacar la bb de datos entera
    1 K 20
  90. Lord_Lurker #90 Lord_Lurker *
    Corregidme y fundidme a negativos. Oh coders del averno!

    No entiendo cómo puede salir eso en el fuente. Desde cuando se rellenan arrays con datos a lo bruto.

    RecononoCo que experiencia laboral poca o ninguna. Pero esto no es así. Verdad ? :foreveralone:

    Admito enlaces a GitHub
    0 K 6
  91. daphoene #91 daphoene
    #80 Lo cual jode la cardinalidad, pero es más correcto.
    0 K 7
  92. avalancha971 #92 avalancha971
    #80 Mi comentario no era menos pedante, y la justificación que has hecho lo merece.

    El problema entonces está en la especificación y no en el que hizo la aplicación.

    Lo de que el mothers family sea una extensión también me pregunto si encajará en el modelo Portugués, donde es el primer apellido el extendido.
    0 K 7
  93. xkill #93 xkill
    #45 lo de que no ha sido explotado significa que no tienen ni registros de los intentos de acceso, y es por ello que no se puede probar que haya sido explotado.
    1 K 20
  94. leitzaran #94 leitzaran
    #21 Es Indra. Como no podía ser de otra manera.
    0 K 6
  95. leitzaran #95 leitzaran
    #54 Indra.
    0 K 6
  96. el-brujo #96 el-brujo
    #90 Es una respuesta con datos en formato JSON
    1 K 15
  97. Lord_Lurker #97 Lord_Lurker
    #96 gracias por responder. Algo había leído de JSON ese pero no lo había mirado en serio. Positivo pa ti
    0 K 6
comentarios cerrados

menéame