法国整型外科技术供应商外泄10万张病患资料

一家专门评测全球VPN服务的vpnMentor在上周揭露了一起惊人的资料外泄事件，因为这次外泄资料的是法国的整型外科技术供应商NextMotion，缺乏存取安全机制的NextMotion数据库内含90万个档案，其中有10万张属于病患的图片，可能是人脸、胸部或私密处等整型部位。

总部位于法国的NextMotion是由一群整型外科医生在2015年所设立，该公司专门提供数位与先进的技术工具，以协助外科整型诊所提供整型前/后（before & after）的评估影像，还强调可简化诊所的资料管理与改善诊所的电子声誉，全球有35个国家的170家整型外科诊所，采用NextMotion的服务。

讽刺的是，vpnMentor在扫描全球网络并检查特定的IP区块时，在Amazon S3上发现了此一毫无防备的数据库，该可公开存取的数据库存放了90万个档案，包括治疗收据、治疗方案、病患的档案照片、360度的身体与脸部扫描影片等。

上述档案含有10万张图片，多半为整型部位的照片，像是脸部、胸部或私密处。

vpnMentor指出，此一外泄事件严重危及病患的隐私，患者可能因此遭到身份窃盗、被诈骗，或是被攻击与勒索。

此外，尽管外泄的数据库存放在Amazon S3储存库，但vpnMentor认为这并非是Amazon Web Services（AWS）的缺失，而是该储存库所有人的过错，AWS对于如何保障S3的安全提供了详细的说明。

此外，vpnMentor认为类似的错误很容易就能解决，包括变更S3的设定、关闭储存库的公开存取能力并添加认证机制、遵循Amazon S3所提供的最佳实作，以及在S3储存库上新增其它的保护层。

vpnMentor是在1月24日发现该数据库，在27日通知NextMotion，30日通知AWS，NextMotion则在2月5日关闭了该数据库。

尽管NextMotion说明档案中的照片或影片，都未列出病患名字或生日等资讯，但有些照片及影片有清楚的人脸，而且病患名字也在收据中曝光，而NextMotion首席执行官Emmanuel Elard 则在声明中表示，他对这起不幸的“小意外”（minor incident）感到很抱歉。

外界认为，这个小意外不只会影响NextMotion的声誉，还可能替NextMotion及所服务的诊所客户带来官司。