Varför din data på Doctolib inte är helt säker

Tvärtemot vad företaget som specialiserat sig på att göra medicinska möten meddelar Doctolibkrypterar den inte all din data från början till slut.

Detta skulle helt enkelt hindra företaget från att utföra vissa av sina åtgärder, i synnerhet för sin tidspåminnelsetjänst.

Oroa dig inte, den stora majoriteten av din data är i goda händer

En undersökning gjord av Radio Frances utredningsenhet står i kontrast till Doctolibs pressmeddelande som publicerades den 19 juni 2020. I det senare hävdar det franska företaget att de krypterar alla sina användares data från början till slut och sina användare för mer cybersäkerhet. Faktum är att resultatet av undersökningen av Franska radion illustrerar att viss information är tydligt tillgänglig “i klartext” för Doctolib-anställda.

Med andra ord är information som patientens efternamn och förnamn, datum för mötet, vårdpersonalens specialitet och framför allt anledningen till konsultationen synliga för Doctolibs anställda. Undersökningen krävde endast inloggning på ett personligt konto på företagets webbplats med hjälp av en debugger.

Inte tillräckligt för att utfärda en allmän varning därför, men det är nödvändigt att korrigera det ursprungliga uttalandet från företaget som specialiserat sig på att koppla samman hälso- och sjukvårdspersonal med individer. I själva verket, Franska radiontillsammans med Benjamin Sonntag, utvecklare och medgrundare av föreningen La Quadrature du Net, noterar att uppgifterna om läkarbesök inte är krypterade från ände till slut.

Doctolib behöver viss information för att fungera

Om företaget därför tillämpade end-to-end-kryptering som det hävdar, skulle bara patienter och vårdpersonal ha tillgång till deras data. Men speciellt för mötespåminnelsetjänsten via e-post och SMS behöver Doctolib känna till datum, tid, identitet för patienten och den konsult som konsulteras. Det är redan lite mer känsligt för frågan om anledningen till samrådet, eftersom det är svårt att motivera behovet av att känna till denna information för att Doctolibs tjänster ska fungera korrekt.

Frågade av Frankrike infospecificerar företaget att en ” mycket begränsat antal anställda har tillgång till läkarbesök, vid specifika tidpunkter och av särskilda skäl, som en del av stödfunktioner “. Ändå utgör detta ett potentiellt fel, med vetskapen om att Doctolib redan har drabbats av en attack med en datastöld gällande läkarbesök i juli 2020.

Företaget skulle därför ha alla intressen av att få insyn i kryptering. Faktum är att ett avslöjande av innehållet i möten kan leda till ett brott mot medicinsk sekretess, samtidigt som advokat Alexandra Iteanu, som också förhördes av Frankrike info” vi är inte säkra från att en Doctolib-anställd med illa avsikter missbrukar dessa uppgifter på ett skadligt sätt eller överför dem till en tredje part […] som kan vara en försäkringsgivare eller din arbetsgivare. Men dessa uppgifter kan också säljas vidare på Internet “.

Källor: Frankrike info, Doctolib pressmeddelande