互联网上有数百万美国人的医学图像和数据

属于数百万美国人的医学图像和健康数据，包括X射线，核磁共振成像和CT扫描，在互联网上不受保护，任何拥有基本计算机专业知识的人都可以使用。

这些记录涵盖了美国500多万患者以及全球数百万患者。ProPublica和德国广播公司Bayerischer Rundfunk发现，在某些情况下，一个窥探者可以使用自由软件程序 - 或者只是一个典型的Web浏览器来查看图像和私人数据。

我们确定了187台服务器 - 用于存储和检索医疗数据的计算机 - 在美国没有受到密码或基本安全预防措施的保护。从佛罗里达到加利福尼亚的计算机系统用于医生办公室，医学成像中心和移动X射线服务。

我们发现的不安全的服务器增加了近年来受到损害的越来越多的医疗记录系统。与最近一些臭名昭着的安全漏洞不同，黑客在这些漏洞中规避了公司的网络防御，这些记录通常存储在缺乏安全预防措施的服务器上，这些安全预防措施很久以前就已成为企业和政府机构的标准。

“走进一扇敞开的门”

咨询公司Spyglass Security的网络安全研究员兼首席执行官杰基辛格说：“它甚至都不是黑客攻击。它正走进一扇敞开的大门。” 在我们告诉他们我们发现了什么之后，一些医疗服务提供商开始锁定他们的系统。

我们的审查发现，接触的程度因健康提供者和他们使用的软件而异。例如，美国公司MobilexUSA的服务器通过输入简单的数据查询显示了超过一百万患者的名字。他们的出生日期，医生和手术也包括在内。

由ProPublica提醒，MobilexUSA上周加强了其安全性。该公司采用移动X射线技术，为养老院，康复医院，临终关怀机构和监狱提供成像服务。“我们迅速减轻了ProPublica发现的潜在漏洞，并立即开始了持续的彻底调查，”MobilexUSA的母公司在一份声明中表示。

另一个与洛杉矶医生联系的成像系统允许互联网上的任何人看到患者的超声心动图。(医生没有回复ProPublica的询问。)

总而言之，全球超过1600万次扫描的医疗数据可在线获取，包括姓名，出生日期，以及某些情况下的社会安全号码。

专家表示，很难确定谁应该为未能保护医学影像的隐私负责。根据美国法律，医疗服务提供者及其业务伙伴在法律上对确保患者数据隐私负责。一些专家表示，这种患者数据的暴露可能违反了健康保险流通与责任法案，或HIPAA，1996年的法律要求医疗保健提供者保护美国人的健康数据的机密性和安全性。

虽然ProPublica没有发现患者数据是从这些系统复制并在其他地方发布的证据，但未经授权访问此类信息的后果可能是毁灭性的。“医疗记录是最重要的隐私领域之一，因为它们非常敏感。医学知识可以用恶意的方式对付你：羞辱人，讹诈人，”安全研究员兼高级技术专家Cooper Quintin说。与电子前沿基金会，一个数字权利组织。

“这是完全不负责任的，”他说。

这个问题不应该让医疗服务提供者感到意外。多年来，一位专家试图警告随意处理个人健康数据。马萨诸塞州综合医院放射科医学分析主任Oleg Pianykh表示，传统上医学成像软件的假设是患者的数据将由客户的计算机安全系统保护。

“安全已经成为一个自己动手的项目”

但随着医院和医疗中心的网络变得越来越复杂并连接到互联网，安全责任转移到了假设保障措施到位的网络管理员身上。“突然之间，医疗安全已成为一个自己动手的项目，”Pianykh在一份他在医学期刊上发表的2016年研究论文中写道。

ProPublica的调查建立在Greenbone Networks的调查基础上，Greenbone Networks是一家总部设在德国的安全公司，在每个有人居住的大陆上至少有52个国家发现了问题。在发现一些患者的健康记录存在风险之后，Greenbone的Dirk Schrader首先与Bayerischer Rundfunk分享了他的研究。然后，德国记者与ProPublica联系，探讨了美国曝光的程度。

Schrader在德国发现了五台服务器，在美国发现了187台服务器，这些服务器无需密码即可获得患者记录。ProPublica和Bayerischer Rundfunk还扫描了互联网协议地址，并在可能的情况下确定了他们所属的医疗服务提供者。

ProPublica独立确定了美国有多少患者可能受到影响，并发现一些服务器运行过时的操作系统已知安全漏洞。施拉德表示，美国超过1370万次医学检测的数据可在线获取，其中包括可下载X射线和其他图像的40多万份。

隐私问题可追溯到医学界从模拟技术向数字技术的转变。电影X射线在荧光灯板上显示的日子早已不复存在。今天，成像研究可以立即上传到服务器，并由办公室的医生通过互联网查看。

有点历史

在这项技术的早期阶段，与大部分互联网一样，很少考虑安全性。HIPAA的通过要求保护患者信息免受未经授权的访问。三年后，医学影像行业发布了第一个安全标准。

我们的报告显示，大型医院连锁店和学术医疗中心确实实施了安全保护措施。我们发现的大多数未受保护的数据都涉及独立的放射科医师，医学成像中心或归档服务。

一名德国患者Katharina Gaspari三年前接受了MRI检查，并表示她通常信任她的医生。但在Bayerischer Rundfunk向Gaspari展示她的在线图像之后，她说：“现在，我不确定我是否还可以。” 存储她记录的德国系统上周被锁定。

我们发现用于存档医学图像的一些系统也缺乏安全预防措施。总部位于丹佛的Offsite Image公布了超过340,000种人类和兽医记录的名称和其他详细信息，包括名为“Marshmellow”的大型猫科动物，ProPublica发现。Offsite Image的一位高管告诉ProPublica，该公司向客户收取50美元的访问权限，然后每次研究收费1美元。“您的数据对我们来说是安全可靠的，”Offsite Image的网站说。

该公司将ProPublica转介给其技术顾问，该顾问最初为Offsite Image的安全实践辩护，并坚持要求访问患者记录时需要密码。顾问Matthew Nelms后来在一天后致电ProPublica记者并承认Offsite Image的服务器已经可访问但现在已经修复。

“我们甚至从未意识到甚至可能发生这种可能性，”内尔姆斯说。

1985年，一个包括放射科医师和成像设备制造商的行业组织创建了医学成像软件的标准。该标准现在称为DICOM，详细说明了医学成像设备如何相互通信并共享信息。

医学影像与技术联盟

我们与负责该标准的医学影像与技术联盟的官员分享了我们的研究结果。他们承认互联网上有数百台服务器具有开放式连接，但建议责任在于运行它们的人。

该组织在一份声明中表示，“尽管这是一个相对较小的数字，但这些系统中的某些系统可能包含患者记录。这些可能代表那些运行这些系统的配置选择不当。”

2017年的会议纪要表明，安全工作组了解了Pianykh的调查结果，并建议与他会面以进一步讨论。这个“行动项目” 被列出了几个月，但是Pianykh说他从未被联系过。医学影像联盟上周告诉 ProPublica，该组织没有与Pianykh会面，因为他们的文章充分阐述了他们的担忧。他们说委员会认为其安全标准没有缺陷。

Pianykh说错过了这一点。这不是缺乏标准; 这是医疗设备制造商不遵循它们。Pianykh在2016年写道：“医疗数据安全从未在临床数据或设备中得到完善，并且仍然在很大程度上是理论上的，并且在实践中并不存在。”

ProPublica的最新发现涉及其他几个主要漏洞。2015年，美国健康保险公司Anthem Inc. 透露，属于超过7800万人的私人数据暴露在黑客中。根据美国卫生和公共服务部的记录分析，在过去两年中，美国官员报告说有超过4,000万人的医疗数据受到损害。

“纠正了故意忽视”

前HHS隐私官员Joy Pritts表示，政府在监管患者隐私泄露方面并不够强硬。她引用HHS 4月份的公告称，将最高年度罚款从150万美元降至250,000美元，这被称为“纠正故意忽视” - 这是公司试图修复的有意识失败或鲁莽冷漠的结果。她说，大公司不仅会将这些罚款视为开展业务的成本，而且还可以与政府谈判以减少这些罚款。2015年的ProPublica检查发现重复HIPAA罪犯的后果很少。

HHS强制执行HIPAA违规行为的民权办公室发言人表示不会就公开或潜在的调查发表评论。

网络安全专家Singh表示，“我们通常在医疗保健行业看到的是，对传统计算机系统应用了创可贴的创可贴”。她说，制造商，标准制定者和医院之间的“共同责任”是确保计算机服务器的安全。

“这是2019年，”她说。“没有理由这样做。”

我怎么知道我的医学影像数据是否安全?

如果您是患者：

如果您进行了医学成像扫描(例如，X光，CT扫描，MRI，超声等)，请询问进行扫描的医疗保健提供者或您的医生 - 如果您的图像访问需要登录，密码。询问您的医生，他们的办公室或他们推荐患者的医学影像提供者是否按照HIPAA的要求进行定期安全评估。