Пробивът при Unimed Billing излага пациентите в германски университетски болници
Пробив в данните на трета страна в здравеопазването при компания за фактуриране, наречена Unimed, е компрометирал личните и медицинските данни на десетки хиляди пациенти в множество германски университетски болници, включително заведения в Кьолн, Фрайбург и Хайделберг. Инцидентът е ярко напомняне, че пациентите почти нямат пряка видимост върху това кой обработва техните здравни данни, след като те напуснат стените на болницата.
Въпреки че европейските болници работят съгласно едни от най-строгите регулации за защита на данните в света, включително GDPR, пробивът демонстрира, че единствено спазването на регулаторните изисквания не може да запълни всяка празнина. Доставчиците на трети страни, които тихо обработват чувствителни данни на заден план, остават една от най-устойчивите уязвимости в поверителността на здравните данни.
Как платформата за фактуриране на Unimed е изложила десетки хиляди германски пациенти
Unimed функционира като посредник при фактурирането, обработвайки фактури и платежни записи от името на болнични клиенти. Пациентите рядко взаимодействат пряко с тези доставчици и повечето нямат представа, че личните им данни се обработват извън самата болнична система.
В случая пробивът се е проявил едновременно в множество големи университетски болнични системи — характерен модел, когато точката на неуспех е общ доставчик на услуги. Един компрометиран доставчик може ефективно да умножи мащаба на излагане във всяка институция, която обслужва. Фактът, че болници в три отделни германски града са засегнати, подчертава колко взаимосвързани — и следователно колко уязвими — могат да бъдат тези информационни екосистеми.
Изложените данни включват предположително лични идентификатори и в някои случаи здравно свързана информация за фактуриране. Тази комбинация е особено чувствителна, тъй като свързва директно самоличността на дадено лице с медицинските услуги, които то е получило, създавайки записи, които могат да бъдат използвани далеч отвъд обикновена финансова измама.
Защо доставчиците на трети страни са най-голямата заплаха за поверителността в здравеопазването
Болниците инвестират сериозно в защитата на собствената си инфраструктура, но тяхната сигурност е толкова здрава, колкото е здрав най-слабият доставчик в тяхната мрежа. Процесорите за фактуриране, доставчиците на лабораторни услуги, платформите за записване на часове и клиринговите центрове за застраховки — всички те получават или предават данни за пациентите, често с по-малко регулаторен контрол от самите болници.
Това не е проблем, специфичен само за Германия. Същата структурна уязвимост се появява многократно в здравните системи по целия свят. Когато една-единствена платформа за фактуриране обслужва десетки болници, единичен пробив създава каскадно събитие на излагане, което отделните институции не могат да предотвратят чрез собствените си усилия за съответствие.
За пациентите тревожната реалност е, че съгласието за лечение на практика означава и съгласие за споделяне на данни в мрежа от доставчици, които никога не виждате и с които не се съгласявате индивидуално. GDPR изисква от обработващите данни да имат договорни гаранции, но тези договори не правят данните технически неуязвими. Когато пробивът настъпи на ниво доставчик, пациентите обикновено биват уведомявани закъсняло — понякога седмици или месеци след първоначалния инцидент.
Какви данни са компрометирани и кой е изложен на риск
Съгласно докладването за този инцидент, изложените записи включват лични данни и здравно свързана информация за фактуриране. Въпреки че пълният обхват все още се оценява, пациентите, чиито услуги за фактуриране са обработвани от Unimed в засегнатите болници, следва да се считат за потенциално засегнати.
Рисковият профил при този вид пробив надхвърля типичната финансова измама. Данните за здравното фактуриране разкриват кои медицински специалности е посетил даден пациент, което може да разкрие чувствителни заболявания, свързани с психично здраве, репродуктивни грижи, лечение на зависимости или хронични болести. Тази информация може да се използва в атаки чрез социално инженерство, застрахователна дискриминация или целенасочени фишинг кампании, съобразени с известните здравни обстоятелства на пациента.
Пациентите в Германия имат право съгласно GDPR да поискат информация за това какви данни са съхранявани, как са обработвани и какво е предприето в отговор. Засегнатите лица следва да се свържат директно с длъжностното лице по защита на данните в болницата си и да следят за официални писма с уведомление за пробива.
Как хората могат да защитят здравните си данни извън институционалните гаранции
След като данните са споделени с доставчик на трета страна, хората не могат да ги върнат. Но има практически стъпки, които намаляват продължаващото излагане и ограничават бъдещия риск.
Първо, упражнете правата си за достъп до данни. Съгласно GDPR можете официално да поискате какви лични данни притежава даден доставчик на здравни услуги за вас и с кого са споделени. Това задължава болниците и техните доставчици да отчетат накъде пътуват вашите данни.
Второ, бъдете внимателни към опити за фишинг в седмиците след получаване на уведомление за пробив. Нападателите често използват пресни откраднати здравни данни, за да изготвят убедителни имейли, представяйки се за болници, застрахователи или отдели за фактуриране.
Трето, обмислете как обработвате чувствително свързано със здравето търсене и комуникация онлайн. Разглеждането на симптоми, проучването на лечения или управлението на входа към здравни акаунти по некриптирани или наблюдавани мрежи добавя допълнителен слой излагане към вече настъпилите институционални пробиви. Използването на проверен VPN за поверителност при чувствително медицинско сърфиране помага да се гарантира, че вашата онлайн здравна активност не е допълнително изложена чрез вашата интернет връзка. Mozilla VPN например е преминал независим одит за сигурност от Cure53 и е изграден на основа с отворен код, което го прави прозрачна опция за читатели, приоритизиращи проверени инструменти за поверителност.
Накрая, минимизирайте това, което споделяте. Ако дадена форма изисква незадължителни здравни данни, няма задължение да ги предоставяте. Ограничаването на данните в момента на събирането им е един от малкото контроли, които пациентите действително притежават.
Какво означава това за вас
Пробивът при Unimed не е изолиран провал. Той отразява системен модел, при който пациентите се доверяват на болниците с дълбоко лична информация, болниците сключват договори с доставчици на трети страни за обработването й, а тези доставчици се превръщат в ценни цели с по-малко защити. Регулаторните рамки като GDPR създават отговорност след факта, но не могат да предотвратят настъпването на пробиви.
Ако сте били пациент в някоя от засегнатите германски университетски болници, приемете уведомлението сериозно и се възползвайте от правата си по GDPR. По-широко погледнато, този инцидент е полезен повод за всеки да прегледа своя отпечатък от здравни данни: кой ги притежава, къде се съхраняват и какво можете да направите, за да ограничите излагането си занапред.
Започнете, като защитите тези части от здравната си поверителност, върху които имате контрол. Използвайте силни, уникални пароли за всички пациентски портали, активирайте двуфакторна автентикация там, където е налична, и обмислете използването на проверен VPN за чувствително здравно сърфиране. Институционалното съответствие само по себе си никога няма да е достатъчно.
