Co se stalo při prolomení zabezpečení dat v SickKids

Torontská Dětská nemocnice, všeobecně známá jako SickKids, potvrdila kybernetický incident, který odhalil osobní údaje některých současných i bývalých zaměstnanců a také uchazečů o zaměstnání. Podle nemocnice nebylo prolomení zabezpečení výsledkem přímého útoku na její vlastní síť, ale pramenilo z chyby v softwaru třetí strany, který organizace používá.

Důležité je, že SickKids uvedla, že klinické systémy a záznamy o pacientech nebyly tímto incidentem ovlivněny. Odhalení se zdá být omezeno na data související se zaměstnanci, tedy informace spojené s lidmi, kteří v nemocnici pracovali nebo se o práci ucházeli, nikoli na pacienty, kterým slouží. Pro dětskou nemocnici, která nakládá s některými z nejcitlivějších lékařských informací, jaké si lze představit, je izolace klinických systémů od tohoto incidentu významným rozdílem, i když odhalení dat zaměstnanců a uchazečů zůstává vážným problémem pro dotčené osoby.

Proč je software třetí strany rostoucím vektorem útoků

Tento incident zapadá do vzorce, který je stále častější ve zdravotnictví, finančnictví a dalších odvětvích, která zpracovávají velké objemy osobních údajů: nejslabším článkem často nejsou vlastní obrany primární organizace, ale software a služby, na které se spoléhá od externích dodavatelů. Nemocnice, univerzity a korporace běžně používají platformy třetích stran pro personální funkce, mzdy, sledování uchazečů, plánování a nespočet dalších provozních úkolů. Každá z těchto integrací představuje potenciální vstupní bod, který je částečně mimo přímou kontrolu instituce, jejíž jméno se nakonec objeví v titulcích.

Tato dynamika není specifická pro zdravotnictví. Zranitelnosti dodavatelů a dodavatelských řetězců způsobily incidenty s odhalením dat napříč odvětvími, včetně výroby. Podobná dynamika se odehrála, když ransomware skupina CRPx0 tvrdila, že ukradla data spojená s tureckými operacemi Hyundai, což ilustruje, jak útočníci stále častěji cílí na pojivovou tkáň mezi organizacemi, jejich partnery a softwarem, na kterém závisí, spíše než aby vždy útočili přímo na základní systémy společnosti. Ať už je vstupním bodem síť dodavatele v automobilovém průmyslu nebo dodavatel HR softwaru nemocnice, základní ponaučení je stejné: bezpečnostní postavení organizace je jen tak silné, jak silný je nejslabší systém, ke kterému se připojuje.

Co to znamená pro vás: Zaměstnanci a uchazeči o zaměstnání

Pokud v současnosti pracujete, dříve jste pracovali nebo jste se ucházeli o pozici v SickKids, stojí za to tento incident brát vážně, i když se netýkal klinických ani pacientských dat. Osobní údaje spojené s pracovními záznamy a žádostmi o zaměstnání mohou zahrnovat jména, kontaktní údaje a další identifikační informace, které by mohly být použity pro phishingové pokusy, krádež identity nebo sociální inženýrství.

Několik praktických kroků může pomoci omezit možné dopady:

  • Sledujte jakoukoli oficiální komunikaci od SickKids ohledně prolomení zabezpečení a dodržujte konkrétní pokyny, které nemocnice poskytne, včetně instrukcí ohledně monitorování úvěrů nebo služeb ochrany identity, pokud budou nabídnuty.
  • Buďte opatrní u nevyžádaných e-mailů, textových zpráv nebo telefonátů odkazujících na vaši pracovní historii nebo historii žádostí v SickKids, zejména těch, které vás žádají o kliknutí na odkazy, ověření údajů o účtu nebo poskytnutí dalších osobních informací.
  • Zvažte aktualizaci hesel na účtech, které mohou sdílet informace s vašimi pracovními záznamy, zejména pokud jste používali stejné přihlašovací údaje napříč službami.
  • Sledujte finanční výpisy a úvěrové zprávy kvůli neobvyklé aktivitě v týdnech a měsících po zveřejnění.

I když organizace potvrdí, že citlivá klinická nebo finanční data nebyla dotčena, odhalené osobní údaje mohou být stále zneužity příležitostnými podvodníky, takže trocha ostražitosti je nyní rozumným opatřením.

Poučení pro organizace prověřující zabezpečení dodavatelů

Pro instituce nakládající s citlivými osobními nebo lékařskými údaji je incident v SickKids připomínkou, že řízení rizik spojených s dodavateli si zaslouží stejnou pozornost jako vnitřní bezpečnostní kontroly. Organizace by měly pravidelně auditovat software a platformy, na které se spoléhají, chápat, k jakým datům tyto nástroje mají přístup, a vyžadovat od dodavatelů prokázání silných bezpečnostních postupů jako podmínku obchodní spolupráce.

Riziko dodavatelského řetězce a třetích stran už není hypotetickým problémem. Je mechanismem za mnoha prolomeními zabezpečení, která se v posledních letech objevila v titulcích, a pravděpodobně bude i nadále způsobovat incidenty v nemocnicích, korporacích a vládních agenturách, dokud se zabezpečení dodavatelů nestane stejnou prioritou jako vlastní obrana organizace.

Klíčové poznatky

Prolomení dat v SickKids kvůli chybě v softwaru třetí strany je užitečnou případovou studií toho, jak zranitelnosti dodavatelů, nejen přímé útoky, mohou ohrozit osobní údaje i v institucích, které kladou důraz na bezpečnost. Pacientské záznamy byly tentokrát ušetřeny, ale zaměstnanci a uchazeči o zaměstnání by měli zůstat ostražití vůči phishingovým pokusům a sledovat své účty. Pro organizace incident zdůrazňuje, že prověřování poskytovatelů softwaru třetích stran už není volitelné. Je to klíčová součást ochrany lidí, jejichž data držíte.

FAQ (přeložte každou otázku a odpověď): Q1: Co způsobilo prolomení zabezpečení dat v SickKids? A1: Způsobila to chyba v softwaru třetí strany používaného nemocnicí, nikoli přímý útok na vlastní síť SickKids. Q2: Čí osobní údaje byly odhaleny? A2: Byly odhaleny osobní údaje některých současných a bývalých zaměstnanců a také uchazečů o zaměstnání. Q3: Byly ovlivněny záznamy o pacientech nebo klinické systémy? A3: Ne, SickKids uvedla, že klinické systémy a záznamy o pacientech nebyly ovlivněny; odhalení bylo omezeno na data související se zaměstnanci. Q4: Proč je software třetí strany rostoucím vektorem útoků? A4: Organizace se spoléhají na externí dodavatele pro personální oddělení, mzdy, plánování a další úkoly a každá integrace představuje potenciální vstupní bod mimo přímou kontrolu organizace. Q5: Co by měli zaměstnanci nebo uchazeči v SickKids udělat? A5: Měli by incident brát vážně a sledovat phishingové pokusy, krádež identity nebo sociální inženýrství, protože pracovní a žádostní data mohou zahrnovat identifikační informace. ---END---