Únik dat z nemocnice, který zahrnuje záznamy pacientů, se málokdy týká jen jmen a adres. Pokud uniklý materiál obsahuje diagnostické výsledky a historii léčby, následky mohou člověka pronásledovat roky. To je obava, kterou vyvolává čerstvě nahlášený incident v brazilské nemocnici Di Camp, kde útočník údajně zveřejnil data pacientů v několikafázovém zveřejnění, jež podle zpráv eskalovalo od EKG výsledků k širším chráněným zdravotním informacím a nakonec k tvrzením o přístupu k celé databázi.

Co uniklo při úniku dat z nemocnice Di Camp

Podle zpráv o incidentu se únik neodehrál najednou, ale ve fázích. Údajně začal elektrokardiogramovými (EKG) daty spojenými s konkrétními pacienty, tedy kategorií informací, která odhaluje citlivé klinické podrobnosti o srdečním zdraví člověka. Odtud se zveřejnění údajně rozšířilo na širší chráněné zdravotní informace a útočník podle zpráv tvrdil, že má přístup k celým nemocničním databázím.

Tento fázový přístup je vzorec známý z jiných vyděračských úniků: nejprve se zveřejní menší vzorek, aby se dokázalo, že data jsou pravá a přístup legitimní, a poté se pohrozí nebo přistoupí k většímu zveřejnění, aby se na organizaci vyvinul tlak. Pro pacienty to znamená, že i počáteční „malý“ únik může být ukázkou mnohem citlivějších informací, které jsou stále v ohrožení.

Proč jsou úniky zdravotních dat nebezpečnější než úniky finančních údajů

Ukradené číslo kreditní karty lze zablokovat. Uniklé heslo lze změnit. Ale EKG záznam pacienta, historii diagnóz nebo záznamy o léčbě nelze vydat znovu. Jakmile jsou zdravotní data jednou odhalena, zůstávají odhalena a nesou s sebou trvalost, kterou finanční údaje obvykle nemají.

Zdravotní záznamy jsou také jedinečně odhalující. Mohou naznačovat chronická onemocnění, psychiatrickou anamnézu, podrobnosti o reprodukčním zdraví nebo léčbu závislostí – informace, které pacienti možná nikdy veřejně nesdíleli a které nemohou vzít zpět, jakmile se ocitnou v rukou zločinců. V kombinaci s identifikačními údaji, jako jsou celá jména a data narození, dávají taková data útočníkům mnohem ucelenější obrázek o člověku, než jaký by poskytl běžný finanční únik.

Nejde o ojedinělou obavu v Brazílii. Země již zažila rozsáhlé úniky, včetně údajného zasažení 223 milionů Brazilců únikem dat Serasa Experian, který se soustředil na úvěrová a identifikační data. Když zdravotní záznamy z incidentu, jako je únik z nemocnice Di Camp, kolují společně s finančními datovými sadami, které již byly kompromitovány jinde, dává tato kombinace zločincům ucelenější profil pro vytváření přesvědčivých podvodných schémat.

Rizika podvodů a vydírání spojená s únikem zdravotních záznamů

Rizika spojená s únikem zdravotní péče sahají daleko za hranice krádeže identity v tradičním slova smyslu. Uniklá zdravotní data byla v minulosti použita k:

  • Podpoře krádeže zdravotní identity, kdy někdo použije údaje oběti k podvodnému získání léčby, receptů nebo pojistných plnění
  • Vytváření vysoce cílených phishingových nebo sociálně-inženýrských pokusů, které odkazují na skutečné diagnózy nebo léčbu, aby působily důvěryhodně
  • Umožnění vydírání nebo pokusů o vydírání pacientů, jejichž záznamy odhalují citlivé zdravotní stavy
  • Přiživování širších podvodů s identitou v kombinaci s finančními nebo úvěrovými daty z jiných úniků

Fázové zveřejňování, které bylo v tomto případě nahlášeno, kdy se citlivá data uvolňují postupně, funguje také jako nátlaková taktika. Signalizuje nemocnici a potenciálně i pacientům, že by mohlo být zveřejněno více, což lze využít k vymáhání platby nebo jednoduše k maximalizaci dosahu a viditelnosti úniku.

Kroky, které mohou pacienti podniknout, aby se po úniku zdravotních dat ochránili

Pokud se domníváte, že se vaše údaje mohly ocitnout při tomto nebo jiném úniku zdravotních dat, existují konkrétní kroky, které stojí za to podniknout:

  1. Sledujte oficiální oznámení. Legitimní oznámení o úniku od nemocnice nebo zdravotnického úřadu nebudou e-mailem ani telefonicky žádat o platbu nebo citlivé ověřovací údaje.
  2. Monitorujte krádež zdravotní identity. Kontrolujte výpisy z pojištění a lékařské účty kvůli službám nebo receptům, které jste neobdrželi.
  3. Buďte obezřetní vůči nečekaným kontaktům. Podvodníci mohou využít uniklé zdravotní údaje, aby phishingové zprávy působily důvěryhodně; každou žádost si před odpovědí nezávisle ověřte.
  4. Zvažte sledování úvěrových zpráv. I únik zdravotních dat může být spojen s pokusy o zneužití identity, takže monitorování úvěrových zpráv přidává vrstvu ochrany.
  5. Používejte silná, jedinečná hesla pro všechny pacientské portály nebo účty související se zdravotní péčí a povolte vícefaktorové ověřování, pokud je k dispozici.

Co to znamená pro vás

I pokud nejste pacientem nemocnice Di Camp, je tento incident připomínkou, že zdravotnické organizace uchovávají jedny z nejcitlivějších údajů o nás a že tato data po úniku nezmizí. Brazílie čelila v posledních letech opakovaným rozsáhlým únikům a každý z nich přispívá do zásoby informací, které mohou zločinci křížově porovnávat. Diskuze o únicích dat v Brazílii se navíc neomezuje jen na zdravotnictví; prolíná se s širšími debatami o sledování a shromažďování dat, včetně obav, že zákony o ověřování věku budují globální sledovací síť, která od občanů vyžaduje ještě více identifikačních údajů předávaných platformám a službám.

Ponaučením není panikařit, ale zůstat ostražití. Nemocniční únik dat zahrnující záznamy pacientů, jako je tento, zdůrazňuje, proč poskytovatelé zdravotní péče potřebují silnější postupy ochrany dat a proč prospívá pacientům, aby se svými zdravotními informacemi zacházeli se stejnou ostražitostí, jakou by věnovali finančním účtům. Sledujte oficiální komunikaci od jakéhokoli poskytovatele, kterého využíváte, prověřujte neočekávané žádosti o osobní údaje a pokud máte podezření, že vaše informace mohly být součástí většího úniku, zvažte monitorovací služby. Být informován o porušeních, jako je toto, je jedním z nejjednodušších způsobů, jak zůstat o krok napřed před těmi, kdo se je snaží zneužít.