Únik dat z Stewart Home & School: 3 677 záznamů ztraceno kvůli krádeži přihlašovacích údajů

Únik dat z Stewart Home & School: 3 677 záznamů ztraceno kvůli krádeži přihlašovacích údajů

Ransomwarový incident v zařízení Stewart Home & School vrátil prevenci ransomwaru založenou na krádeži přihlašovacích údajů v oblasti zdravotnictví zpět do centra pozornosti a mechanizmy tohoto konkrétního úniku stojí za to důkladně prozkoumat. Ukradené přihlašovací údaje umožnily útočníkovi přístup ke dvěma interním diskům. Data byla získána, zkopírována mimo prostředí a poté zašifrována, což postihlo až 3 677 osob, jejichž osobní, finanční a chráněné zdravotní informace byly na těchto discích uloženy. Tento sled událostí je téměř ukázkový, ale právě to ho činí tak poučným.

Jak ukradené přihlašovací údaje otevřely dveře ransomwaru v Stewart Home & School

Útok na Stewart Home & School se řídil vzorcem, který bezpečnostní výzkumníci zdokumentovali u stovek incidentů ve zdravotnictví: útočník získá platné přihlašovací údaje, použije je k běžnému ověření, přesune se laterálně, aby našel citlivá úložiště dat, exfiltruje kopii těchto dat a poté nasadí ransomware, aby zašifroval, co zůstalo. Každý krok staví na tom předchozím.

Útoky založené na ukradených přihlašovacích údajích jsou obzvláště škodlivé, protože z pohledu sítě vypadá útočník jako legitimní uživatel. Perimetrická obrana, firewally a základní antivirové nástroje nejsou navrženy tak, aby označovaly ověřené relace. V okamžiku, kdy začne šifrování, jsou data již pryč. Ransomware je téměř druhotnou událostí, nátlakovou taktikou navrstvenou na exfiltraci, která již proběhla úspěšně.

To je důvod, proč je prvotní kompromitace přihlašovacích údajů nejkritičtějším bodem celého řetězce. Zastavte ji tam a žádné následné škody nevzniknou.

Jaká data byla odhalena a kdo je v ohrožení

Únik zahrnoval osobní údaje, finanční informace a chráněné zdravotní informace (PHI), což je kombinace, která u postižených osob vytváří znásobené riziko. Na PHI se vztahuje zákon HIPAA, což znamená, že dotčené organizace čelí regulačním důsledkům vedle přímé újmy jednotlivcům. Finanční údaje ve stejném úniku dramaticky zvyšují riziko krádeže identity a podvodné aktivity na účtech.

Při potenciálně zasažených 3 677 osobách je rozsah pro jedinou instituci značný. Obyvatelé, studenti a pravděpodobně i zaměstnanci zařízení Stewart Home & School, pečovatelského zařízení pro osoby s vývojovým postižením, představují obzvláště zranitelnou skupinu. Mnozí z nich mohou mít omezenou schopnost samostatně sledovat svou bonitu nebo reagovat na upozornění na podvody, což klade zvýšenou odpovědnost na instituci a rodinné pečovatele.

Tento druh úniku nekončí, když je ransomware zneškodněn. Exfiltrovaná data přetrvávají a jednotlivci zůstávají v ohrožení po měsíce či roky, zatímco ukradené záznamy kolují na sekundárních trzích.

Proč jsou prostředí zdravotní péče obzvláště zranitelná vůči útokům založeným na přihlašovacích údajích

Prostředí ve zdravotnictví a pečovatelských zařízeních vykazují strukturální zranitelnosti, které ztěžují prevenci ransomwaru založeného na krádeži přihlašovacích údajů oproti jiným odvětvím. Fluktuace zaměstnanců je vysoká, což znamená, že hygiena přihlašovacích údajů, včetně včasné deaktivace účtů odchozích zaměstnanců, je neustále pod tlakem. Sdílené pracovní stanice jsou v klinických a rezidenčních pečovatelských prostředích běžné, což komplikuje správu hesel i odpovědnost v případě zneužití přihlašovacích údajů.

Vzdálený přístup se v pečovatelských prostředích rovněž výrazně rozšířil, a ne vždy s odpovídajícími kontrolami. Zaměstnanci, kteří se přihlašují z osobních zařízení nebo domácích sítí, tak často činí bez ochrany VPN nebo vícefaktorového ověřování, čímž jsou přihlašovací údaje vystaveny phishingu, malwaru pro krádež informací a odposlechu v síti.

Za zmínku stojí paralela s jinými odvětvími. Dřívější případ zahrnující ManageMyHealth odhalil téměř 100 000 záznamů pacientů navzdory předchozím varováním, což ilustruje, že selhání v oblasti přihlašovacích údajů a přístupu ve zdravotnictví jsou zřídkakdy ojedinělými překvapeními. Spíše odrážejí systémové mezery, které zůstávají neřešeny, dokud je únik nepřinutí k nápravě. Podobně státní systémy čelily srovnatelným mezerám v odpovědnosti, když byly známé zranitelnosti ponechány po delší dobu bez oprav.

Zdravotnické organizace také často provozují starší systémy, které nebyly navrženy s ohledem na moderní požadavky na ověřování. Nasazení vícefaktorové autentizace na starší infrastrukturu je technicky proveditelné, vyžaduje však rozpočet, plánování a školení personálu, což je pro mnoho menších zařízení obtížné upřednostnit.

Jak mohou zdravotničtí pracovníci zabezpečit přístup a zastavit řetězec úniku

Únik dat v Stewart Home & School poskytuje jasný výchozí bod pro každou zdravotnickou organizaci, která prověřuje své vlastní zranitelnosti. Náprava nevyžaduje špičkové technologie. Vyžaduje disciplinované zavádění opatření, která jsou již dobře známá.

Vynucujte vícefaktorové ověřování u veškerého vzdáleného přístupu. Ukradené heslo nestačí k ověření, pokud je vyžadován druhý faktor. Toto jediné opatření přeruší nejběžnější řetězec útoku založeného na krádeži přihlašovacích údajů.

Požadujte používání VPN pro všechna vzdálená připojení k interním diskům a klinickým systémům. Zaměstnanci, kteří se připojují z domova nebo sdílených sítí, by měli procházet šifrovaným tunelem. To snižuje útočnou plochu pro odposlech přihlašovacích údajů a omezuje, kam se ověřený útočník může dostat.

Pravidelně provádějte audit a deaktivaci účtů. Nepoužívané nebo účty bývalých zaměstnanců jsou opakujícím se vstupním bodem. Čtvrtletní kontrola aktivních přihlašovacích údajů porovnaná s aktuálními seznamy zaměstnanců výrazně snižuje riziko zneužití osiřelých účtů.

Segmentujte interní disky a uplatňujte přístup s nejnižšími oprávněními. Ne každý ověřený uživatel potřebuje přístup ke všem diskům. Omezení přístupu na to, co každá role skutečně vyžaduje, znamená, že jediný kompromitovaný údaj nemůže odemknout celé datové prostředí.

Monitorujte anomální chování při ověřování. Přihlášení v neobvyklých hodinách, z neznámých IP adres nebo napříč více systémy v rychlém sledu jsou varovné signály. Automatické upozornění na tyto vzorce může odhalit průniky dříve, než je exfiltrace dokončena.

Co to znamená pro vás

Pokud pracujete ve zdravotnické administrativě, IT nebo v oblasti dodržování předpisů, únik v Stewart Home & School je přímou výzvou k auditu zabezpečení vlastního vzdáleného přístupu, než vás k tomu donutí incident. Sekvence odcizení přihlašovacích údajů – exfiltrace – šifrování popsaná zde je opakovatelná a útočníci ji dobře znají. Bude se opakovat v organizacích, které neodstranily základní nedostatky v řízení přístupu.

Prostudujte si případ úniku dat ManageMyHealth jako paralelní případovou studii: tento incident byl po vládním šetření označen za zcela odvratitelný, což znamená, že varovné signály existovaly ještě před ztrátou jakýchkoli dat. Totéž téměř jistě platí pro organizace, které dnes fungují bez vícefaktorové autentizace, vynucování VPN a pravidelných auditů přihlašovacích údajů. Opatření jsou k dispozici. Otázkou je, zda budou zavedena dříve, než další ukradené heslo otevře dveře.