Medicinalgiganten Amgen har bekræftet et datalæk, der har eksponeret både patienters sundhedsoplysninger og proprietære firmadata, hvilket vækker fornyet bekymring om Amgen-datalækkets konsekvenser for patientprivatlivet for de personer, hvis oplysninger var involveret. Virksomheden oplyser, at hændelsen opstod i cloud-lagringssystemer, og at den nu er i gang med at underrette berørte personer, selvom flere centrale detaljer, herunder om ransomware blev anvendt, eller om der er fremsat et løsepengekrav, forbliver ubekræftede.
Hvad skete der i Amgen-datalækket
Ifølge de tilgængelige oplysninger fik trusselsaktører adgang til cloud-baserede lagringssystemer knyttet til Amgens drift og slap afsted med en blanding af følsomme data: beskyttede sundhedsoplysninger (PHI) tilhørende patienter sammen med proprietær virksomhedsinformation. Amgen har indledt processen med at underrette de berørte, et krav i henhold til reglerne om offentliggørelse af sundhedsdata-læk, når en virksomhed bekræfter, at personlige sundhedsdata er blevet kompromitteret.
Hvad der endnu ikke står klart, og hvad efterforskere stadig arbejder på at fastslå, er, om angriberne anvendte ransomware som en del af indtrængningen, eller om Amgen har modtaget et løsepengekrav eller afpresningsforsøg knyttet til de stjålne data. Det er kritiske åbne spørgsmål. En hændelse med ren datatyveri og en ransomware-drevet afpresningskampagne indebærer forskellige risici for både virksomheden og de patienter, hvis oplysninger blev taget, især omkring hvorvidt de stjålne data vil blive lækket offentligt, solgt eller tilbageholdt mod betaling.
Hvorfor sundhedsdata-læk udsætter patienter for større risiko
Sundhedsbrud har tendens til at medføre konsekvenser, der varer længere end ved et typisk virksomhedsdata-læk. Finansielle kontonumre kan annulleres og genudstedes på få dage. Lægejournaler, diagnoser, recepthistorik og andre PHI kan ikke blot nulstilles. Når den information er eksponeret, forbliver den eksponeret, og den kan bruges mod patienter i årevis på måder, der er sværere at opdage end et svigagtigt kreditkortgebyr.
Det er det, der gør sundhedsorganisationer til så attraktive mål. PHI indeholder ofte tilstrækkelige oplysninger (navne, fødselsdatoer, forsikringsoplysninger, sygehistorik) til at muliggøre identitetstyveri, forsikringssvindel og målrettede phishing-svindelnumre, der refererer til en patients faktiske helbredsforhold for at virke troværdige. Kombiner det med proprietære firmadata, som kan omfatte forskning, kliniske forsøgsdata eller interne forretningsdokumenter, og et enkelt brud kan skabe risiko på flere fronter samtidigt: patientprivatliv på den ene side, virksomheds- og forskningsintegritet på den anden.
Sundhedssektoren er også blevet et hyppigt mål netop på grund af denne dobbelte værdi, og fordi mange udbydere og deres leverandører er afhængige af komplekse, indbyrdes forbundne cloud-systemer, der udvider den potentielle angrebsflade. Efterhånden som organisationer i stigende grad integrerer automatiserede værktøjer og AI-drevne systemer i deres infrastruktur, har angribere vist, at de kan udnytte svagheder i disse nyere teknologier lige så let som i ældre. Et nyligt eksempel, detaljeret beskrevet i vores dækning af en AI-agent, der brød ind i Hugging Face via en zero-day-sårbarhed, illustrerer, hvor hurtigt angribere kan skifte til at udnytte selve den automatisering og de cloud-værktøjer, organisationer er afhængige af.
Hvordan VPN'er og kryptering passer ind i sundhedsdatasikkerhed
Selvom intet enkelt værktøj forhindrer et brud på organisationsniveau, forbliver kryptering og sikre forbindelser grundlæggende for at begrænse skaden, når systemer kompromitteres. Data krypteret både i hvile og under overførsel er langt mindre nyttige for angribere, selv hvis de formår at eksfiltrere dem. For sundhedsorganisationer betyder det at kryptere lagrede PHI i cloud-systemer og sikre, at data, der bevæger sig mellem interne systemer, leverandører og cloud-udbydere, rejser over krypterede, autentificerede kanaler.
For individuelle patienter og medarbejdere, der tilgår sundhedsportaler eller virksomhedssystemer eksternt, tilføjer VPN'er og krypterede forbindelser et ekstra lag af beskyttelse mod aflytning på usikrede netværk, især når man tilgår følsomme sundhedsportaler fra offentligt Wi-Fi eller personlige enheder. De er ikke en erstatning for organisationens egne sikkerhedspraksisser, men de reducerer risikoen for, at data bliver opsnappet under overførsel – en brik i et meget større sikkerhedsbillede, der omfatter adgangskontroller, overvågning og planlægning af hændelsesrespons.
Hvad dette betyder for dig
Hvis du har modtaget, eller muligvis vil modtage, en meddelelse om brud fra Amgen, så tag den alvorligt, allerede før alle detaljer om hændelsen er bekræftet. Start med at gennemgå enhver underretningsskrivelse omhyggeligt for specifikke oplysninger om, hvilke data der var involveret. Overvåg dine forsikringsudtog og forklaring-på-ydelser-dokumenter for ukendte krav, et almindeligt tegn på medicinsk identitetstyveri. Overvej at placere en svindeladvarsel eller kreditfrys hos de store kreditbureauer, da stjålne PHI ofte er pakket med tilstrækkelige personoplysninger til at åbne svigagtige konti. Vær på vagt over for enhver opfølgende kommunikation, der hævder at være fra Amgen eller dets partnere, især hvis de beder dig klikke på links eller angive yderligere personoplysninger, da underretninger om brud ofte udnyttes af svindlere, der kører sekundære phishing-kampagner.
Hele omfanget af Amgen-datalækket, herunder om ransomware spillede en rolle, eller om der er fremsat afpresningskrav, kan tage tid at afklare. I mellemtiden har patienter, der er berørt af hændelsen, praktiske skridt til rådighed for at begrænse deres eksponering: overvåge konti, indefryse kredit, hvor det er relevant, og forblive opmærksomme på mistænkelig kommunikation. Sundhedsorganisationer vil fortsat være højværdi-mål for angribere, men informerede, proaktive patienter er langt bedre rustet til at opdage og begrænse følgerne, når brud som dette finder sted.
