Potíže rezervačního systému: rodná čísla seniorů posílá Googlu, věkovou kontrolu šlo snadno obejít
Rezervační systém na očkování nebude předávat data komerční sféře, sliboval tento týden ministr zdravotnictví Jan Blatný (za ANO). Realita je ale jiná. Reklamní systémy omylem sbírají i rodná čísla zájemců o vakcinaci. V systému, který ráno kolaboval, navíc šlo snadno obejít kontrolu věku, nastavenou pro upřednostnění seniorů.
Registrační systém na očkování proti onemocnění covid-19 se hned po pátečním spuštění potýkal s přetížením.
Navíc kvůli bezpečnostním nedostatkům předává rodná čísla pacientů do zahraničí a kontrolu věku, nastavenou pro upřednostnění seniorů, šlo jednoduše ošálit.
Registrační systém na antigenní testy posílá data reklamním gigantům, ministerstvo chystá audit
Číst článek
Když zájemci o očkování prošli registrací v systému ministerstva zdravotnictví, byli přesměrováni na web společnosti Reservatic, od níž stát nakupuje rezervační formuláře pro jednotlivá zdravotnická zařízení, která očkování provádějí.
Součástí tohoto přesměrování pak bylo i rodné číslo pacienta spolu s jeho přihlašovacím PIN, které jeden IT systém předával tomu druhému, a to jako součást adresy webové stránky.
Jak už dříve server iROZHLAS.cz informoval, firma Reservatic do svého webu vkládá skripty reklamních společností Facebook a Google, které předávají některé informace o návštěvách stránky na domovské servery v zámoří. Mezi to patří i adresy navštívených stránek, a v tomto případě tedy i rodná čísla. Na twitteru na to upozornil Martin Malý.
Nyní již systém ministerstva zdravotnictví informuje, že všechny očkovací kapacity jsou vyčerpané, k přesměrování dalších uživatelů tedy v současnosti nedochází.
Ministr zdravotnictví Jan Blatný (za ANO) během čtvrtečního vystoupení v Brně vyloučil, že by rezervační systém na očkování předával data komerční sféře. Nechal se slyšet, že ochrana dat je zajištěna.
Mluvčí státní IT organizace NAKIT (Národní agentury pro komunikační a informační technologie) Lukáš Trnka serveru iROZHLAS.cz napsal, že odstranění rodných čísel z adresy je v plánu. „Ale má to návaznost na linku 1221 a další,“ dodal.
Zaregistrují se i mladší
Není to jediný zádrhel. Jak na twitteru upozornil Filip Šedivý, aplikace ministerstva sice podle rodného čísla ověřuje, zda zájemce patří mezi seniory, kontrola ale probíhá přímo na stránce v internetovém prohlížeči.
Fungování samotné stránky může kdokoli ve svém prohlížeči jednoduše změnit. Aplikace ho v takovém případě pustí dál, a dokonce mu zašle PIN2, tedy kód nutný pro vytvoření samotné rezervace na očkování.
Podle mluvčího Trnky šlo v tomto případě o chybu, kterou nyní programátoři opravují. Z technického hlediska by pak neměl být problém případné neoprávněně přihlášené odfiltrovat.
V CRS se mi podařilo najít chybu, díky které je možné projít registračním formulářem i přesto že rodné číslo odpovídá mému věku tj. 24 let. PIN 2 také přišel. pic.twitter.com/020UJ388VZ
— Filip Šedivý (@filipsedivy) January 15, 2021
