O banco de dados Total Fitness expôs 474 mil imagens de membros e funcionários • st

Um pesquisador de segurança afirma que a rede de academias e academias do Reino Unido Total Fitness estragou suas responsabilidades de proteção de dados ao não bloquear um banco de dados repleto de dados pessoais dos membros.

O pesquisador contou-nos que mais de 474 mil imagens de membros e funcionários – incluindo homens, mulheres e crianças – foram armazenadas em um banco de dados que foi deixado desprotegido e acessível ao público, sem a necessidade de senha.

O tamanho do banco de dados, segundo o pesquisador de segurança cibernética Jeremiah Fowler e relatado ao vpnMentor, totalizou 47,7 GB. Também incluía um conjunto de imagens que revelavam documentos de identidade de indivíduos, informações bancárias e de cartões de pagamento, bem como números de telefone e registros de imigração em alguns casos raros, afirmou Fowler.

“Isto levanta preocupações de privacidade relativamente à forma como as empresas recolhem imagens de membros ou clientes, como são armazenadas, por quanto tempo são mantidas e quem tem acesso a elas”, disse o investigador. “Muitas pessoas optam por permanecer privadas online e não compartilham publicamente imagens suas, de seus amigos, familiares ou filhos.

“Quase todas as contas de mídia social oferecem aos usuários a capacidade de ter um perfil privado e ter controle estrito sobre quem pode acessar seu conteúdo. No entanto, este não parece ser o caso das imagens enviadas por membros nas plataformas Total Fitness. possível que as imagens armazenadas no banco de dados backend sejam potencialmente retidas mesmo depois de serem excluídas pelo membro. Isso explicaria potencialmente por que o banco de dados continha imagens de documentos confidenciais.”

O banco de dados, que agora está bloqueado, foi preenchido com várias imagens, incluindo fotos dos rostos dos membros, enviadas por eles próprios durante o processo de registro on-line ou pela equipe que registrou os membros no local.

A Total Fitness disse que as imagens dos membros compreendiam apenas um “subconjunto” do cache total, enquanto outros arquivos incluíam fotos de artefatos como mercadorias e imagens comerciais. Relativamente ao número de imagens na base de dados, a rede de clubes de saúde sublinhou que apenas um número muito reduzido de imagens continha informação de identificação pessoal (PII).

A explicação está em desacordo com o relato das coisas feito por Fowler. Ele afirma que o banco de dados estava quase inteiramente preenchido com imagens de membros, cerca de 97 por cento – não apenas um “subconjunto”, como disse a Total Fitness.

Fitness total contado O registro que as imagens foram coletadas e armazenadas para “fins comerciais legítimos” e que são usadas para garantir que as associações não sejam mal utilizadas e para identificar membros específicos nas instalações, quando necessário.

A empresa possui 15 academias de ginástica no norte da Inglaterra e no País de Gales que atendem a mais de 100.000 membros e 600 funcionários. Os afetados serão contatados pela empresa hoje, disse.

Pela resposta inicial da empresa às nossas perguntas, não parece que aqueles que tiveram apenas suas imagens expostas serão notificados, mas O registro procurado por esclarecimentos sobre o assunto.

“Embora uma investigação inicial não tenha encontrado dados que pudessem [and] por si só identificar um indivíduo, que não seja uma foto do membro, continuamos nossa análise e conduzimos um exame mais completo, incluindo uma verificação imagem por imagem”, disse-nos um porta-voz da empresa.

“Este exame forense identificou um pequeno subconjunto de 114 imagens fornecidas por membros que incluíam informações que poderiam ser usadas para identificar um membro. Desativamos imediatamente esta pasta e essas imagens foram removidas.

“A partir de uma análise de nossos registros, não podemos ver nenhuma evidência de alguém acessando esses arquivos antes do alerta”.

O porta-voz também disse que o Gabinete do Comissário de Informação (ICO) do Reino Unido foi informado da situação e que a Total Fitness o apoiaria em quaisquer investigações que pudesse lançar.

“Tornamos como prioridade garantir que as imagens dos membros não sejam combinadas com outros dados que possam identificar o membro por meio de atualizações para a equipe e deixaremos isso mais claro em nossa comunicação aos novos