Zdjęcia są na telefonach i w wspólnym Dropboxie - naprawdę to problem?

Najpewniej tak, na gruncie art. 9 RODO. Linki Dropbox, które otwiera każdy z adresem URL, nie przechodzą testu „odpowiednich środków technicznych” dla danych szczególnej kategorii. Telefony personelu automatycznie synchronizujące zdjęcia do prywatnego iCloud / Google Photos też nie. Pre-skan pokazuje konkretne konfiguracje, które Was wystawiają, i wyjaśnia prostym językiem, co przeszłoby audyt.

Czy da się to zrobić bez zamykania gabinetu na dzień?

Tak. Pre-skan jest w pełni zewnętrzny i pasywny - nie dotykamy Waszego systemu rezerwacji, kamer ani sieci. Wszystko robimy z zewnątrz, na bazie tych samych informacji, które zebrałby atakujący. Wizyty idą normalnie, gdy my pracujemy.

W zeszłym roku konsultant robił „audyt bezpieczeństwa”. To to samo?

Prawie na pewno nie. Większość „audytów” sprzedawanych gabinetom estetycznym to checklistowe przeglądy polityk - papierkologia. Przydatne do teczki compliance, ale nie sprawdzają, czy atakujący rzeczywiście się dostanie. Pre-skan to techniczna ocena Twojej zewnętrznej powierzchni ataku: co działa, co jest wystawione, co skaner już o Was widzi.

Gabinety medycyny estetycznej

Zdjęcie na Waszym serwerze to
najbardziej prywatna rzecz klientki.

Zdjęcia przed/po, historie medyczne, rejestry wizyt, zgody - Wasz gabinet trzyma jedne z najbardziej podatnych na wymuszenie danych, jakie mała firma może trzymać. Zgodnie z RODO to dane zdrowotne, kategoria szczególna. Naruszenie to nie tylko kara: to zdjęcia klientek pojawiające się publicznie z nazwą gabinetu w tle. Znajdujemy luki, zanim zrobią to atakujący.

Zamów bezpłatny pre-skan

Szczera wersja

Dlaczego gabinety estetyczne są celem wartym osobnej kampanii

To nie opinia - to, co zgodnie pokazują Verizon DBIR⁴ i raporty IBM² o małych firmach z obszaru około-medycznego, które trzymają wrażliwy materiał wizualny.

Pliki, które trzymacie, to nie „dane” - to reputacje.

Zdjęcia przed/po, zgody, notatki z zabiegów - to materiał wyjątkowo podatny na wymuszenie. Atakujący nie musi ich sprzedać; sama groźba publikacji jednego rozpoznawalnego zdjęcia wystarczy, by wyciągnąć pieniądze. W niemal żadnej innej branży mała firma nie trzyma materiału o tak wysokim stosunku intymności do wartości biznesowej.

Główny kanał przychodów to jedno konto w social mediach.

Dla większości klinik estetycznych Instagram i Facebook są silnikiem marketingu - często większym niż strona WWW. SIM-swap albo phishing, który blokuje właścicielce dostęp do konta, to natychmiastowa przerwa w przychodach, a odzyskanie przez wsparcie Meta potrafi trwać tygodnie - jeśli w ogóle się uda.

Z zewnątrz wyglądacie jak łatwy cel.

Typowy stos: system kamer IP w gabinetach, strona WordPress z rezerwacjami i 10+ wtyczkami, Dropbox albo Google Drive na zdjęcia, konto Instagram współdzielone przez właściciela i personel. Każdy element z osobna jest słaby; razem tworzą dobrze znany profil ransomware - dlatego gabinety wciąż pojawiają się w raportach incydentów.

Zakres oceny

Co sprawdzamy w Twoim gabinecie

Ekspozycja kamer IP (Hikvision / Dahua)

CVE-2021-36260 i podobne podatności pozwalają na pełne przejęcie kamery bez żadnych poświadczeń - a wiele kamer w gabinetach wciąż nie jest załatanych. Sprawdzamy każdą kamerę dostępną z Internetu w Twoim obiekcie i wskazujemy te, które można zdalnie wykorzystać bezpośrednio.

Ryzyko przejęcia kont social

Instagram, Facebook, TikTok - główny kanał przychodów większości klinik. Oceniamy, czy Twoje konta są chronione przed SIM-swap, phishingiem i credential-stuffingiem, i wskazujemy trzy rzeczy, które ma wspólne 95% przejęć kont.

Przechowywanie zdjęć przed/po (RODO art. 9)

Zdjęcia przed/po to dane zdrowotne w rozumieniu art. 9 RODO - kategoria szczególna wymagająca wyraźnej zgody i podwyższonych środków bezpieczeństwa. Sprawdzamy, jak i gdzie są przechowywane - Dropbox, OneDrive, dostawca systemu gabinetu - i czy spełnia to poprzeczkę art. 9.

Podatności systemów rezerwacji

Doctoralia, ZnanyLekarz, Moment.pl, własne systemy rezerwacji - sprawdzamy wystawione panele administracyjne, podatne na wstrzyknięcia formularze i niezabezpieczone endpointy API przechowujące dane pacjentek i historię wizyt.

Wyciek danych logowania personelu

Adresy e-mail gabinetu skonfrontowane z Have I Been Pwned i bazami wycieków dark-webowych. Jedno wyciekłe hasło do systemu rezerwacji oznacza pełne ujawnienie listy klientek - imię, nazwisko, numer telefonu, historia zabiegów.

Bezpieczeństwo strony i CMS

Strony WordPress z przestarzałym Elementorem, Divi lub WooCommerce są trywialne do skompromitowania. Sprawdzamy stronę, której Twoje klientki ufają, rezerwując wizyty, i wskazujemy, która wtyczka jest następną drogą do środka.

Realne koszty

Co naprawdę kosztuje naruszenie w gabinecie

Do 20 mln €1

Kara RODO art. 9 (dane zdrowotne)

Dane o zabiegach estetycznych i zdjęcia przed/po kwalifikują się jako dane zdrowotne - kategoria szczególna art. 9 RODO. Naruszenia takich danych ściągają najwyższy poziom kar UODO (art. 83), a organy traktują sprawy z ochrony zdrowia priorytetowo. Plus 72-godzinny zegar zgłoszenia naruszenia rusza w chwili wykrycia (art. 33).

Ekspozycja wirusowa

Wyciek zdjęć przed/po

Skradzione intymne zdjęcia, które wypływają publicznie, to wydarzenie kończące biznes. Klientki, które powierzyły Ci wrażliwe obrazy, mają mocne podstawy prawne do roszczeń cywilnych, a cykl medialny wokół wyciekłego archiwum przed/po trwa długo. W odróżnieniu od większości naruszeń, to nie przestaje krążyć z nazwą gabinetu w tle.

Natychmiastowa utrata przychodów

Przejęcie konta social

Utrata konta Instagram albo Facebook oznacza utratę głównego kanału marketingowego z dnia na dzień. Odzyskiwanie przez Meta trafi się w tygodniach - jeśli w ogóle. Dla gabinetu, gdzie 60-80% rezerwacji pochodzi z social, operacyjny koszt tygodniowej przerwy dorównuje żądaniu okupu ransomware.

Zobacz, jak wygląda prawdziwy raport

Tak wygląda raport pre-skanu dla gabinetu medycyny estetycznej

Zmieniona nazwa gabinetu i domena. Reszta to prawdziwy wynik - konkretne znaleziska CVE dla kamer, analiza luk przechowywania zdjęć pod art. 9 RODO, checklista utwardzenia kont social i priorytetyzowana lista działań, którą Twój manager gabinetu może przekazać tego samego dnia.

Pobierz przykładowy raport (PDF) …albo pomiń i zamów własny pre-skan w 24 h

Dostarczamy

Co otrzymujesz

Każdy gabinet, który zamawia pełną ocenę, dostaje ten sam pakiet - bez poziomów, bez dosprzedaży, bez funkcji „tylko enterprise”.

Raport PDF w przystępnym języku (wersja angielska na życzenie) - bez żargonu
Pełna lista podatności z oceną krytyczności (Krytyczna / Wysoka / Średnia / Niska) i CVSS tam, gdzie to adekwatne
Audyt kamer IP ze szczegółowymi wynikami CVE i wskazówkami łatania per urządzenie
Lista kontrolna zabezpieczenia kont social: kroki utwardzające przeciwko SIM-swap, phishingowi i credential-stuffingowi
Przechowywanie zdjęć przed/po - analiza luk zgodności z art. 9 RODO
Wyniki podatności systemu rezerwacji i strony z priorytetyzowanym planem naprawczym
30-minutowa rozmowa podsumowująca z osobą prowadzącą ocenę - omówienie znalezisk

Pytania właścicielek gabinetów

Obiekcje gabinetów estetycznych, odpowiedzi wprost

„Zdjęcia są na telefonach i w wspólnym Dropboxie - naprawdę to problem?”: Najpewniej tak, na gruncie art. 9 RODO. Linki Dropbox, które otwiera każdy z adresem URL, nie przechodzą testu „odpowiednich środków technicznych” dla danych szczególnej kategorii. Telefony personelu automatycznie synchronizujące zdjęcia do prywatnego iCloud / Google Photos też nie. Pre-skan pokazuje konkretne konfiguracje, które Was wystawiają, i wyjaśnia prostym językiem, co przeszłoby audyt.
„Czy da się to zrobić bez zamykania gabinetu na dzień?”: Tak. Pre-skan jest w pełni zewnętrzny i pasywny - nie dotykamy Waszego systemu rezerwacji, kamer ani sieci. Wszystko robimy z zewnątrz, na bazie tych samych informacji, które zebrałby atakujący. Wizyty idą normalnie, gdy my pracujemy.
„W zeszłym roku konsultant robił „audyt bezpieczeństwa”. To to samo?”: Prawie na pewno nie. Większość „audytów” sprzedawanych gabinetom estetycznym to checklistowe przeglądy polityk - papierkologia. Przydatne do teczki compliance, ale nie sprawdzają, czy atakujący rzeczywiście się dostanie. Pre-skan to techniczna ocena Twojej zewnętrznej powierzchni ataku: co działa, co jest wystawione, co skaner już o Was widzi.

Zamów bezpłatny pre-skan dla swojego gabinetu

Wysyłasz nam swoją domenę. W ciągu 24 godzin mówimy, co widzi atakujący z zewnątrz - kamery, system rezerwacji, ekspozycja social, luki w przechowywaniu zdjęć. Jeśli nic poważnego - zatrzymujesz raport i znikamy. Jeśli coś poważnego - dostajesz propozycję o stałej cenie, bez presji i subskrypcji.