Image représentative. | Crédit photo: Getty Images / Istockphoto
Une vulnérabilité critique dans le site Web de l’Organisation des banques de recherche d’organes (ORBO) du All India Institute of Medical Sciences (AIIMS), New Delhi, qui a exposé des données sensibles des donateurs d’organes volontaires à travers l’Inde ainsi que leur identité, son profil de santé et les coordonnées ont été détectés et résolus, grâce à un chercheur indépendant en matière de sécurité qui a signalé le défaut.
Orbo est l’installation nodale pour les activités liées aux dons de cadavres et aux tissus des AIIM. Il maintient un registre des donneurs de mort cérébrale, coordonne le processus de don et de transplantation des organes et des tissus et diffuse des informations aux hôpitaux.
À la mi-mai 2025, le chercheur, Aniket Tomar, est tombé sur la vulnérabilité et a alerté l’équipe d’intervention d’urgence informatique (CERT).
Violation de la confidentialité des données
Dans un e-mail informant sur l’exposition critique des données, il a déclaré que la vulnérabilité a révélé des informations personnellement identifiables et médicales des donneurs d’organes et de tissus enregistrés sans aucun mécanisme d’authentification pour y accéder, constituant une grave menace pour la confidentialité des données, la conformité et la sécurité nationale des infrastructures de santé.
La fuite de données a fourni un accès sans restriction à la liste complète des donneurs d’organes et de tissus enregistrés auprès de l’AIIMS. Les informations comprenaient le nom complet, l’adresse résidentielle, la date de naissance, le groupe sanguin, le numéro de mobile et les coordonnées d’urgence du donneur mettant des centaines de personnes à des risques importants de vol d’identité, d’attaques de phishing et d’exploitation d’ingénierie sociale.
«Une telle violation de données d’une institution médicale réputée compromet non seulement la confiance du public dans les systèmes de santé numérique, mais viole également les principes de protection des données en vertu de la loi sur la protection des données numériques (DPDP), la gravité est amplifiée par le fait que la violation affecte une démographie sensible – les donateurs des organismes – a déclaré que dans son alert de la confidentialité et de l’intensification des données», M. Tomar a déclaré dans son alert.
Les champs d’informations personnellement identifiables (PII) doivent être désinfortés ou expurgés dans tout rapport accessible au public, a-t-il déclaré et a appelé à un audit approfondi d’applications Web similaires dans d’autres portails de soins de santé gouvernementaux pour empêcher une exposition systémique. Les AIIM doivent informer les individus affectés conformément aux normes éthiques.
«Plus qu’un laps de temps technique»
« J’ai pu voir plusieurs entrées de donneurs lakh … Les données ne se sont pas limitées à Delhi, les entrées semblaient inclure des donateurs de diverses régions à travers l’Inde, indiquant une portée nationale. L’exposition de ces données est une grave violation de la vie privée, a-t-il dit la confiance des individus qui ont volontairement partagé leurs informations personnelles les plus sensibles avec une plate-forme nationale de santé », a déclaré M. Tomar The Hindou.
Plus qu’un simple déchet technique, l’incident soulève des préoccupations éthiques profondes et menace de raccrocher la confiance du public dans les systèmes de don d’organes et l’infrastructure de soins de santé plus large, a-t-il déclaré.
Le 18 juin 2025, le certificat a écrit à M. Tomar l’appréciant d’avoir détecté la vulnérabilité critique. La vulnérabilité a été atténuée avec succès et les données exposées n’étaient plus accessibles au public, a déclaré le chercheur.
Publié – 27 juillet 2025 22:05 IST