Giamaica leak: esposti i dati dei viaggiatori

Un problema di sicurezza relativo al sistema messo a punto da un fornitore del governo centrale ha esposto le informazioni di chi nel corso dell’ultimo anno si è recato in Giamaica. Più precisamente documenti di viaggio e risultati dei test per COVID-19. Stando a quanto trapelato sarebbero coinvolte centinaia di migliaia di persone, gran parte delle quali di nazionalità americana.

JamCOVID19: esposti dati di chi ha viaggiato in Giamaica

La responsabilità è attribuita al sito JamCOVID19 realizzato e gestito da Amber Group che ogni giorno pubblica numeri relativi al contagio e consente ai residenti di segnalare i loro sintomi. Il portale ospita inoltre una sezione dedicata a chi sta per recarsi nel paese e, provenendo da territori considerati “a rischio”, deve obbligatoriamente comunicare alle autorità l’esito negativo dei test. Uno dei server dell’infrastruttura cloud di AWS delegata a raccoglierli è stato lasciato senza alcun tipo di protezione, mostrando così il fianco al leak.

Conteneva oltre 70.000 esiti dei test per il coronavirus e più di 425.000 documenti con tanto di nome, cognome, data di nascita e numero del passaporto. Presenti anche le informazioni relative a circa 250.000 ordini di quarantena per coloro potenzialmente a contatto con la malattia e almeno 440.000 scansioni delle firme.

Esposti poi 1,1 milioni di video che il governo locale ha chiesto ai visitatori di registrare ogni giorno per certificare la loro permanenza nelle località consentite, attraverso un’applicazione mobile da installare obbligatoriamente all’ingresso nel paese e sempre sviluppata da Amber Group. Chiudiamo con il commento rilasciato da Jamaica Information Service che di fatto conferma la vulnerabilità.

È stata immediatamente avviata un’indagine approfondita per determinare se ci sono state violazioni nella sicurezza dei dati di chi viaggia, se le vulnerabilità sono state esposte e se sono state infrante delle leggi. Al momento non ci sono prove tali da far ritenere la vulnerabilità forzata in modo malevolo per la sottrazione di dati prima della sua correzione.