最令人不安的發現是，許多記錄包含用戶數據，包括名和姓、顯示名稱、出生日期、體重、身高、性別、地理位置等。這些消息都是明文，還有壹個ID好像是加密的。地域結構與“美國/紐約”和“歐洲/都柏林”相同，用戶分布在世界各地。
在20k+記錄的有限樣本中，壹些頂級的可穿戴健康和健身追蹤器似乎是壹個“來源”。fitbit(2021被谷歌以21億美元收購)出現了2766次，好像是蘋果的Healthkit17764。其他應用程序或設備也可能受到影響。根據GetHealth的網站，他們可以同步以下數據:23andMe、DailyMile、FatSecret、Fitbit、GoogleFit、JawboneUP、LifeFitness、MapMyFitness、MapMyWalk、Microsoft、Misfit、MovesApp、PredictBGL、Runkeeper、SonyLifelog、Strava、VitaDock、Withings、AppleHealthKit、AndroidSensor、sHealth。
AppleHealthkit可以收集更復雜的指標，包括血壓、體重、睡眠水平、血糖等等。壹旦iPhone用戶被允許使用蘋果的健康和健身應用程序，它將使用手機中的傳感器，連接的可穿戴設備和智能設備來收集比許多其他設備或應用程序更多的健康數據。這個操作可以在後臺靜默運行，也可以在用戶授予權限的任何iPhone上運行。
以下是調查結果的詳情:
總大小:16.71GB/總記錄:61053956曝光指數:device API _ fitnessdeviceAPI _ heartratediceapi _ ProfiledeviceAPI _ PulseoxdeviceAPI _ SleepdeviceAPI _ TrackerdeviceAPI _ weight。
暴露以下內部記錄:deviceapi_ profile，type，id，score，source，source，id，weight，e_id，采集時間，身高，生日，gethealthid，名字，姓氏，顯示名稱，url，性別，組織id，時區。這些信息可用於有針對性的網絡釣魚攻擊或獲取用戶的其他健康信息。該文件還顯示了存儲數據的位置，以及如何從後端運行和配置網絡的藍圖。
用戶數據如何出現在數據庫中的示例:
個人數據帳戶示例:
健身追蹤器帶來隱私風險。
健身追蹤器旨在通過提供可能表明健康風險的關鍵信息來了解和改善我們的健康。在收集用戶信息的過程中，設備必須能夠訪問我們的生活、健康等非常隱私的信息。
根據皮尤研究中心的壹份報告，估計美國20%的成年人擁有某種可穿戴設備或健身追蹤器。這些設備將在多年內產生大量與健康相關的數據點，並產生長期的隱私風險。
這些設備中的許多都不是匿名的，並且與用戶帳戶綁定，鼓勵他們在個人資料中輸入個人身份信息。這使得在數據泄露的情況下，識別數據屬於誰變得極其容易。另壹個問題是，可穿戴設備沒有統壹的隱私標準，公司可能會將這些數據用於廣告、營銷或與第三方共享。另壹個需要考慮的問題是，公司將如何向用戶提供“最終使用策略”，這些數據將存儲多長時間？什麽是醫療器械？
可穿戴設備帶來了復雜的問題。
關於如何將可穿戴和健身追蹤器或物聯網的可穿戴設備視為醫療設備，有壹些爭論。醫學應用之間的界限變得越來越模糊。近年來，英國、美國和歐盟的監管機構試圖界定什麽是醫療器械以及如何監管醫療器械。這些信息對於醫學研究和衛生保健行業非常有價值。
美國美國食品藥品監督管理局將FitBit指定為非處方藥軟件和二類醫療設備。2020年9月14日，Fitbit追蹤心律失常的心電圖功能獲得FDA和CE標誌批準。Fitbit的設備目前收集了全球約2900萬用戶的數據，谷歌聲稱Fitbit用戶的健康數據不會用於谷歌廣告。在其他很多領域，這種技術已經超越了法律法規，犧牲了用戶隱私。
根據Gethealth的說法。Io的網站和FAQ這個過程符合HIPAA標準，並聲明“通過SSL傳輸、AES256加密、日誌記錄和監控，用戶的數據是安全的，所有數據都以符合HIPAA標準的方式存儲和管理”。
1996的《健康保險流通與責任法案》(HIPAA)是美國的壹部聯邦法律，旨在保護敏感的患者健康信息在未經患者同意或知情的情況下不被披露。目前還沒有明確的HIPAA規定適用於可穿戴技術，只要數據用於個人使用。然而，可穿戴技術的數據壹旦傳輸到醫療保健提供商或其他機構，就可能受到HIPAA法規和HIPAA合規標準的約束。可穿戴設備和智能手機擁有收集患者生成的健康數據(PGHD)的技術，這可能會暴露敏感的健康數據，但監管似乎還遠遠不夠。
大多數可穿戴用戶認為，沒有網絡罪犯會對他們走了多少步或睡了多長時間感興趣，但忽視數據的使用或享受數據的方式是錯誤的。所有的數據都是有價值的。隨著可穿戴設備技術的發展，從用戶處收集的數據類型和準確性也在提高。簡單的計步器或計步器相對無害，而壹些可穿戴設備可以識別更詳細的信息，如心率或身體質量指數。理論上，健身追蹤器對數百萬用戶收集的詳細信息可以提供這些人及其整體健康狀況的整體描述。然後，這些數據可以用於實施其他攻擊、欺詐、勒索，或者獲取更有針對性的健康信息。
收集和存儲健康數據是有風險的。
所有收集的信息都必須存儲在某個地方，這會產生漏洞和潛在的數據暴露點。醫療行業需要壹個數據管理平臺來收集和過濾他們收集的大量數據。到2026年，全球健康管理市場預計將增長至467億美元。隨著醫療技術行業的發展，收集和存儲的數據量也在不斷增加。
可穿戴設備的健康數據是信息寶庫，無疑會成為網絡犯罪的目標。眾所周知，健康行業遭受的數據泄露比其他任何行業都多。根據Trustwave的壹份報告，醫療保健數據可以在黑市或暗網上以每條記錄高達250美元的價格出售。與約5.40美元的信用卡記錄估值相比，這是壹筆可觀的金額。
目前還不清楚這些記錄被曝光了多久，也不清楚還有誰能接觸到數據集。作為安全研究人員，我們從不提取或下載我們找到的數據，只拍攝有限數量的屏幕截圖進行驗證。我們沒有暗示Gethealth、其客戶或合作夥伴有任何不當行為。我們也不是說任何客戶或用戶數據都有風險。在數據庫被禁止公開訪問之前，我們無法確定受影響個人的確切人數。我們只是強調我們的發現，以提高人們對物聯網、可穿戴設備、健身和健康追蹤器帶來的危險和網絡安全漏洞的認識，以及這些數據是如何存儲的。我們建議任何公司或組織加密敏感數據，制定網絡健康措施，並經常進行滲透測試。