インドの大手薬局チェーン、DavaIndiaでのセキュリティの不備により、外部からプラットフォームの管理権限が奪われ、顧客の注文データや機密の薬品管理機能が流出したと、テッククランチが独自に報じました。インド政府のサイバーセキュリティ当局に詳細を共有したセキュリティ研究者のイートン・ズヴェア氏によると、DavaIndiaのウェブサイトで不正な「スーパー管理者」アプリケーションプログラミングインタフェースを特定したことで、この欠陥を発見したということです。
この問題は現在修正されており、ズヴェア氏はその調査結果を公表しました。ズヴェア氏は、認証されていないユーザーが高い権限を持つ「スーパー管理者」アカウントを作成できる不正な管理インタフェースが原因であるとしています。
このアクセスにより、攻撃者は顧客情報を含む数千件のオンライン注文を閲覧したり、商品リストや価格を変更したり、割引クーポンを作成したり、特定の薬が処方箋を必要とするかどうかの設定を変更したりできたということです。システムのタイムスタンプに基づき、ズヴェア氏はこの脆弱な管理インタフェースが2024年末から稼働していたと述べています。
ズヴェア氏によると、このアクセスにより883店舗にわたる17,000件近いオンライン注文と管理権限が露出し、商品価格や処方箋の必要性、プロモーション割引の変更が可能だったということです。ウェブサイトの内容を改ざんや妨害に利用できる可能性もあったとしています。
薬局の注文データは特に機密性が高く、個人の健康状態や服用薬、その他のプライベートな購入情報を明らかにする可能性があります。このようなデータの流出は、他の消費者情報と比較してプライバシーや患者の安全性のリスクが高まるとされています。
ズヴェア氏は、顧客情報が注文にリンクされており、名前、電話番号、メールアドレス、郵送先住所、支払い総額、購入した商品が含まれていると述べています。薬局であるため、購入された商品はプライベートであり、一部の人にとっては恥ずかしいものである可能性があるとしています。
ズヴェア氏は、2025年8月にインドの国家サイバー緊急対応機関、CERT-Inにこの問題を報告しました。この脆弱性は数週間以内に修正されましたが、会社からの確認は遅れ、11月末にサイバー当局に提供されたということです。
Zota Healthcareの最高経営責任者、スジット・ポール氏は、先月テッククランチから送られたメールに返信しませんでした。研究者は、この欠陥が修正される前に悪用された形跡はないと述べています。
