Únik dat z portálu HUSKY Medicaid v Hartfordu odhaluje riziko krádeže přihlašovacích údajů
Únik dat z portálu HUSKY společnosti Hartford HealthCare přitáhl novou pozornost ke zranitelnosti, která se týká milionů pacientů přistupujících ke svým zdravotním informacím online: krádež přihlašovacích údajů do zdravotnických portálů. Incident poukazuje na to, že veřejně přístupné vládní a nemocniční portály s sebou nesou specifickou sadu rizik, jež se liší od typických úniků v korporátní sféře, a to zejména pro příjemce Medicaidu, kteří mohou k citlivým údajům o dávkách a zdravotním stavu přistupovat ze sdílených nebo nezabezpečených zařízení.
Co se stalo při úniku dat z portálu HUSKY v Hartfordu
Program HUSKY je connecticutský Medicaid a program zdravotního pojištění pro děti a Hartford HealthCare v této síti působí jako jeden z hlavních poskytovatelů. Únik se soustředil na pacientský portál, který členové HUSKY používají k prohlížení žádostí o dávky, pojistných výhod a osobní zdravotní dokumentace. Podle zpráv o incidentu došlo ke kompromitaci prostřednictvím neoprávněného přístupu pomocí přihlašovacích údajů – metody, kdy útočníci použijí odcizené nebo zveřejněné přihlašovací údaje a přihlásí se do portálu, jako by byli legitimním uživatelem.
Tento únik je pozoruhodný typem ohrožených dat. Portály Medicaidu obvykle uchovávají kombinaci osobně identifikovatelných údajů, historie pojistných nároků, diagnostických kódů a záznamů o poskytovatelích. Tato kombinace je mimořádně cenná pro zloděje identity a podvodníky, protože na jednom místě propojuje finanční a zdravotní data. Na rozdíl od úniku platebních karet nelze kompromitované přihlašovací údaje k Medicaidu jednoduše zrušit a znovu vydat.
Incident rovněž vyvolává otázky ohledně platforem dodavatelů a sdílených přístupových bodů. Pokud se na stejnou infrastrukturu portálu připojuje více systémů nebo organizací, může se slabina v jedné oblasti přelít do širší expozice napříč sítí.
Jak krádež přihlašovacích údajů cílí na uživatele zdravotnických portálů
Krádež přihlašovacích údajů ve zdravotnictví funguje jinak než v jiných odvětvích. Útočníci jen zřídkakdy potřebují přímo proniknout do vnitřních systémů nemocnice. Místo toho se zaměřují na vnější okraj: přihlašovací stránky, které denně používají pacienti a personál. Phishingové e-maily vydávající se za správce zdravotních plánů, falešné přihlašovací stránky portálů a malware typu infostealer nainstalovaný na osobních zařízeních patří mezi nejčastější metody.
Jakmile útočník získá platné přihlašovací údaje, často zůstane neodhalen po celé týdny či měsíce, protože jeho aktivita vypadá jako běžné chování uživatele. Neobjeví se žádná upozornění na neúspěšné přihlášení, nespustí se žádné perimetrové alarmy. Proto zdravotnické organizace stále častěji označují kompromitaci přihlašovacích údajů za svou nejhůře včas odhalitelnou hrozbu.
Problém ještě prohlubuje opakované používání hesel. Mnoho pacientů používá stejnou kombinaci e-mailu a hesla napříč různými službami. Únik přihlašovacích údajů od prodejce nebo ze sociální sítě může prakticky odemknout portál Medicaidu, pokud uživatel své přihlašovací údaje recykloval. Credential stuffing, kdy útočníci spouštějí uniklé dvojice uživatelského jména a hesla proti zdravotnickým portálům v automatizovaných dávkách, je dnes běžnou útočnou metodou vyžadující minimální dovednosti.
Tento vzorec rozšiřující se útočné plochy prostřednictvím vzdálených a pacientsky orientovaných koncových bodů je dobře zdokumentován. Jak ukazuje výzkum zaměřený na ransomware a zranitelnosti vzdálených koncových bodů, bezpečnostní lídři napříč sektory si stále více uvědomují, že mnoho úniků začíná právě na koncovém bodě, nikoli v datovém centru.
Proč veřejné a sdílené sítě zesilují riziko portálů Medicaid
Medicaid slouží populaci, která se často spoléhá na sdílená zařízení a veřejné internetové připojení. Knihovní počítače, sítě komunitních center, sdílené chytré telefony a bezplatná veřejná Wi-Fi na klinikách či v čekárnách představují běžné přístupové body pro pacienty spravující své dávky. Tato prostředí s sebou nesou významná bezpečnostní rizika, která většina uživatelů nemá možnost v reálném čase posoudit.
Na nešifrované veřejné síti mohou být přihlašovací údaje odesílané do zdravotnického portálu zachyceny technikami, jako je útok typu man-in-the-middle, při němž se útočník postaví mezi zařízení uživatele a síť a odchytává data během přenosu. Dokonce i v sítích, které se tváří jako soukromé, lze po přihlášení z prohlížeče sklidit relační cookies a tokeny, což útočníkovi umožní vydávat se za uživatele, aniž by kdy potřeboval samotné heslo.
Sdílená zařízení představují samostatnou kategorii rizik. Hesla uložená v prohlížeči, kešované relace a data automatického vyplňování uložená na veřejném počítači či v telefonu člena rodiny mohou být přečtena následnými uživateli nebo malwarem již běžícím na daném zařízení.
To je přesně ten scénář, kdy se šifrování připojení stává konkrétní, akceschopnou obranou. VPN směruje váš internetový provoz šifrovaným tunelem, čímž maskuje vaše přihlašovací údaje a data relace před kýmkoli, kdo monitoruje síť mezi vaším zařízením a portálem. Pro pacienty přistupující k portálům Medicaid z nejistých síťových prostředí tento jediný krok výrazně snižuje riziko zachycení přihlašovacích údajů během přenosu.
Praktické kroky, které mohou pacienti podniknout k ochraně přístupu ke zdravotním účtům
Únik z portálu HUSKY v Hartfordu je impulzem k tomu, abyste přehodnotili, jak se připojujete k jakémukoli zdravotnickému portálu, ať už jde o systém Medicaid, pacientský portál nemocnice nebo stránky člena pojišťovny. Zde jsou konkrétní opatření, která stojí za to podniknout:
Používejte VPN ve veřejných nebo sdílených sítích. Před přihlášením do jakéhokoli portálu souvisejícího se zdravím v síti, kterou plně nekontrolujete, aktivujte VPN. Platí to pro Wi-Fi v kavárnách, připojení v knihovnách, hotelové sítě a jakoukoli síť, k níž má přístup více osob.
Pro každý zdravotnický portál používejte jedinečná hesla. Správci hesel to činí praktickým. Únik přihlašovacích údajů z jedné služby by neměl útočníkům poskytnout přístup k vašim zdravotním záznamům.
Zapněte vícefaktorové ověřování všude, kde je nabízeno. I když je vaše heslo kompromitováno, druhý faktor, jako je kód zaslaný do telefonu nebo na e-mail, představuje smysluplnou bariéru pro neoprávněný přístup.
Vyhněte se přístupu k citlivým portálům ze sdílených zařízení. Pokud musíte použít knihovní nebo veřejný počítač, plně se odhlaste, vymažte relaci prohlížeče a neukládejte hesla na výzvu.
Sledujte své výpisy vysvětlení dávek (EOB). Úniky z portálů Medicaid často vedou k podvodným žádostem o dávky podaným na jméno pacienta. Pravidelná kontrola historie vašich žádostí může včas odhalit neoprávněnou aktivitu.
Podezřelou aktivitu ihned nahlaste. Pokud obdržíte neočekávanou korespondenci o dávkách, které jste neuplatnili, nebo pokud váš portál vykazuje přihlašovací aktivitu z neznámých míst, neprodleně kontaktujte správce svého programu Medicaid a tým podpory portálu.
Co to znamená pro vás
Únik z portálu HUSKY v Hartfordu není ojedinělým incidentem. Portály Medicaid, pacientské portály nemocnic a platformy pro klienty pojišťoven – to vše je součástí rostoucí kategorie veřejně přístupných vstupních bodů do zdravotnictví, které útočníci neustále testují. Model krádeže přihlašovacích údajů nevyžaduje sofistikované hackování. Spoléhá na propast mezi tím, jak pečlivě zdravotnické organizace chrání své vnitřní systémy, a tím, jak nedbale lze k těmto systémům přistupovat zvenčí.
Pacienti v této rovnici nejsou bezmocní. Pochopení, že vaše síťové připojení je součástí vaší bezpečnostní pozice, a nejen přihlašovací stránka portálu, mění to, jaká ochranná opatření máte k dispozici. Riziko je reálné a stále se rozšiřuje, jak dokládají zdokumentované trendy v útocích na vzdálené koncové body, které pohánějí kompromitaci přihlašovacích údajů napříč odvětvími. Udělejte si dnes pár minut a zkontrolujte, jak a odkud ke svým zdravotním účtům přistupujete, a učiňte z šifrovaného připojení standardní zvyk, nikoli dodatečný nápad.
