Demo-акаунт, API і дані мільйонів пацієнтів

У Польщі зламали FELG Dent - хмарний софт для стоматологій, яким користуються понад 4 000 клінік і 16 000 лікарів та гігієністів.

Але найцікавіше для IT - як це, ймовірно, зробили.

Нападник під псевдонімом Horus стверджує, що створив звичайний demo-акаунт і знайшов API endpoints без належної перевірки прав доступу. Змінюючи параметри запитів, він нібито міг отримувати дані інших пацієнтів, рецепти та інформацію про лікарів.

Якщо його версія підтвердиться, це класичний IDOR/BOLA: користувач авторизований у системі, але backend не перевіряє, чи має він право отримувати конкретний об’єкт.

Horus каже, що почав завантажувати дані 6 вересня. FELG дізналася про інцидент 28 вересня. За словами нападника, один проблемний endpoint закрили, але він знайшов інші з аналогічною помилкою і продовжив доступ.

Він заявляє про дані приблизно 2,4 млн пацієнтів і 1,2 млн рецептів та вимагав 100 тис. злотих викупу. FELG підтвердила несанкціонований доступ, але не підтверджує описаний Horus спосіб атаки та остаточний масштаб витоку.

На сайті FELG серед засобів захисту вказані SSL, 256-бітне шифрування та резервне копіювання. Якщо версія Horus правильна, проблема була не в шифруванні. Сервер сам віддавав дані авторизованому користувачу - просто не ті, які він мав право бачити.

Джерела:

https://www.aha.org/h-isac-white-reports/2026-10-02-threat-bulletin-tlp-white-data-breach-polish-dental-software-vendor-felg-software-felg-dent

https://cybercerber.pl/blog/wyciek-felg-dent-co-zrobic-w-gabinecie/

🇺🇦 UA IT-спільнота в Польщі
🇵🇱 → @uaitpoland