Únik dat ve společnosti Asahi Kasei Therapeutics je jasným příkladem toho, jak jediný web provozovaný dodavatelem může odhalit celý profesní adresář. Podle reportáže Japan Cyber Watch útočníci pronikli do Pharma DIGITAL, webu provozovaného dodavatelem jménem společnosti Asahi Kasei Therapeutics pro lékaře v Japonsku. Odhalená data zahrnují jména, pracoviště a specializace 514 000 lidí.
Dosud dostupné podrobnosti jsou omezené a tento příspěvek se drží toho, co bylo reportováno. I tak je však rozsah a typ dotčených dat dostatečným důvodem k tomu, abychom tento případ pochopili, zejména pro každého, kdo má účet na profesním nebo farmaceutickém portálu.
Co bylo odhaleno při úniku dat Pharma DIGITAL
Podle zdrojové reportáže patří dotčené záznamy 514 000 zdravotnickým odborníkům v Japonsku. Odhalené informace zahrnují tři kategorie:
- Jména
- Pracoviště
- Lékařské specializace
Reportáž v souvislosti s tímto incidentem nezmiňuje hesla, finanční údaje ani záznamy pacientů a nemáme žádný základ tvrdit, že byly zapojeny. Tento rozdíl je důležitý. Nejde o únik lékařských souborů. Jde o únik toho, kdo jsou tito lidé, kde pracují a co dělají.
To může znít nevýznamně ve srovnání s únikem platebních dat. V praxi je však ověřený seznam odborníků s jejich zaměstnavateli a specializacemi užitečným aktivem pro každého, kdo plánuje kontaktovat tyto lidi pod falešnou záminkou.
Jak se portál provozovaný dodavatelem stal slabým místem
Pharma DIGITAL neprovozovala přímo společnost Asahi Kasei Therapeutics. Šlo o web provozovaný dodavatelem, který sloužil publiku lékařů této společnosti. Jde o běžné uspořádání: farmaceutické firmy často spoléhají na externí poskytovatele, kteří hostují informační portály, registrační systémy a komunikační nástroje pro zdravotnické odborníky.
Nevýhodou je, že data skončí v systému, který společnost denně plně nekontroluje. Zabezpečení závisí na záplatování, řízení přístupu a monitorování ze strany dodavatele a návštěvník nebo registrovaný uživatel nemá snadný způsob, jak zjistit, jak dobře jsou tyto věci řešeny. Když útočníci proniknou do takového webu, značka na vstupních dveřích patří jedné organizaci, zatímco selhání spočívá na jiné.
Pro lidi s účty je praktickým ponaučením to, že jméno společnosti, které důvěřujete, je jen částí obrázku. Data, která předáte, mohou být držena řetězcem dodavatelů. Za zmínku stojí také širší tlak kybernetické kriminality na japonské organizace a naše pokrytí případu podezřelého z ransomwaru Qilin zatčeného v Japonsku poskytuje užitečný kontext, i když jde o samostatný případ, který podle reportáží není s tímto únikem spojen.
Proč uniklá profesní data umožňují cílený phishing
Obecný phishing spoléhá na objem a štěstí. Cílený phishing spoléhá na důvěryhodnost. Zpráva, která oslovuje lékaře jménem, zmiňuje nemocnici nebo kliniku, kde pracuje, a odkazuje na jeho specializaci, vypadá mnohem legitimněji než hromadný e-mail o uzamčeném účtu.
S daty, která zde byla údajně odhalena, by útočník mohl vytvořit zprávy jako:
- Falešné oznámení od farmaceutické společnosti o novém produktu relevantním pro konkrétní specializaci
- Podvodná pozvánka na lékařský seminář nebo webinář s přihlašovacím odkazem
- Zpráva vydávající se za administrátora nemocnice nebo IT oddělení
- Falešná žádost o ověření údajů účtu na portálu, který příjemce již používá
Toto jsou příklady toho, jak mohou být taková data zneužita, nikoli zprávy o útocích, které se staly. Zdravotničtí pracovníci jsou také zaneprázdněni a zvyklí přijímat komunikaci z oboru, což usnadňuje jednat na základě věrohodné zprávy bez druhého pohledu.
Co to znamená pro vás
Pokud jste zdravotnický odborník v Japonsku a používali jste Pharma DIGITAL, sledujte oficiální oznámení od společnosti Asahi Kasei Therapeutics nebo dodavatele a řiďte se jejich pokyny. Předpokládejte, že vaše jméno, pracoviště a specializace mohou být v oběhu.
Pokud nepracujete ve zdravotnictví, ponaučení stále platí. Jakýkoli adresář, portál s novinkami nebo registrační web provozovaný třetí stranou může obsahovat váš profil, který je sám o sobě cenný. Ke zneužití úniku nemusíte ztratit heslo.
Jak mohou postižení odborníci omezit své vystavení riziku
Data, která již byla odhalena, nemůžete vzít zpět, ale můžete snížit pravděpodobnost, že budou použita proti vám:
- Kontrolujte oznámení o únicích. Pečlivě si přečtěte jakýkoli e-mail nebo dopis od společnosti či dodavatele a ověřte jej prostřednictvím oficiálního kanálu, nikoli odkazu ve zprávě.
- Buďte skeptičtí ke zprávám, které zmiňují vaše pracoviště nebo specializaci. Osobní údaje už nejsou důkazem, že odesílatel je pravý.
- Nepoužívejte odkazy ani přílohy z neočekávaných zpráv. Přejděte přímo na známý web nebo zavolejte na číslo, kterému již důvěřujete.
- Používejte jedinečná hesla pro každý portál. Pokud používáte stejné heslo z profesního webu i jinde, změňte je a použijte správce hesel.
- Zapněte vícefaktorové ověřování všude, kde je nabízeno, zejména pro e-mail a pracovní účty.
- Informujte svůj IT nebo bezpečnostní tým o podezřelých zprávách, aby mohli být varováni kolegové.
Klíčové poznatky
Únik dat ve společnosti Asahi Kasei Therapeutics ukazuje, že vystavení společnosti je jen tak silné jako zabezpečení jejích dodavatelů a že jména, pracoviště a specializace mohou stačit k pohánění přesvědčivých podvodů. Zkontrolujte každé oznámení, které obdržíte, k neočekávaným zprávám zmiňujícím vaši práci přistupujte opatrně a utužte základy u účtů, které máte na profesních portálech. Pro širší kontext o kybernetické kriminalitě zaměřené na japonské organizace si přečtěte naši reportáž o zatčení v souvislosti s ransomwarem Qilin v Japonsku.
