Asahi Kasei Therapeutics-databrudet er et klart eksempel på, hvordan ét leverandørstyret websted kan eksponere et helt fagligt register. Ifølge rapportering fra Japan Cyber Watch brød angribere ind i Pharma DIGITAL, et websted drevet af en leverandør på vegne af Asahi Kasei Therapeutics for læger i Japan. De eksponerede data omfatter navne, arbejdspladser og specialer for 514.000 personer.
De detaljer, der hidtil er tilgængelige, er begrænsede, og dette indlæg holder sig til det, der er blevet rapporteret. Alligevel er omfanget og typen af data involveret nok til at gøre sagen værd at forstå, især for alle med en konto på en faglig eller farmaceutisk portal.
Hvad blev eksponeret i Pharma DIGITAL-bruddet
Ifølge kilderapporten tilhører de berørte poster 514.000 sundhedsprofessionelle i Japan. De eksponerede oplysninger omfatter tre kategorier:
- Navne
- Arbejdspladser
- Medicinske specialer
Rapporteringen nævner ikke adgangskoder, økonomiske detaljer eller patientjournaler i forbindelse med denne hændelse, og vi har intet grundlag for at sige, at de var involveret. Denne sondring er vigtig. Dette er ikke en læk af medicinske filer. Det er en læk af, hvem folk er, hvor de arbejder, og hvad de laver.
Det kan lyde ubetydeligt sammenlignet med et brud på betalingsdata. I praksis er en verificeret liste over fagfolk med deres arbejdsgivere og specialer et nyttigt aktiv for enhver, der planlægger at kontakte disse personer under falske forudsætninger.
Hvordan en leverandørstyret portal blev det svage punkt
Pharma DIGITAL blev ikke drevet direkte af Asahi Kasei Therapeutics. Det var et leverandørstyret websted, der betjente virksomhedens publikum af læger. Dette er en almindelig ordning: farmaceutiske virksomheder er ofte afhængige af eksterne udbydere til at hoste informationsportaler, registreringssystemer og kommunikationsværktøjer for medicinske fagfolk.
Afvejningen er, at dataene ender i et system, som virksomheden ikke fuldt ud kontrollerer i det daglige. Sikkerheden afhænger af leverandørens patching, adgangskontroller og overvågning, og en besøgende eller registrant har ingen nem måde at se, hvor godt disse håndteres. Når angribere kommer ind på et sådant websted, tilhører brandet på fordøren én organisation, mens fejlen ligger hos en anden.
For personer med konti er den praktiske lære, at navnet på den virksomhed, du stoler på, kun er en del af billedet. De data, du afgiver, kan være i hænderne på en kæde af leverandører. Det bredere cyberkriminalitetspres på japanske organisationer er også værd at huske på, og vores dækning af Qilin-ransomware-mistænkt anholdt i Japan giver nyttig kontekst, selvom denne sag er en separat sag og ikke rapporteres at være forbundet med dette brud.
Hvorfor lækkede faglige oplysninger muliggør målrettet phishing
Generisk phishing er afhængig af volumen og held. Målrettet phishing er afhængig af troværdighed. En meddelelse, der henvender sig til en læge ved navn, nævner det hospital eller den klinik, hvor de arbejder, og henviser til deres speciale, virker langt mere legitim end en masse-e-mail om en låst konto.
Med de data, der rapporteres eksponeret her, kunne en angriber udforme meddelelser som:
- En falsk meddelelse fra en farmaceutisk virksomhed om et nyt produkt relevant for et specifikt speciale
- En falsk invitation til et medicinsk seminar eller webinar med et loginlink
- En meddelelse, der udgiver sig for at være fra en hospitalsadministrator eller IT-afdeling
- En falsk anmodning om at bekræfte kontodetaljer på en portal, modtageren allerede bruger
Disse er eksempler på, hvordan sådanne data kan misbruges, ikke rapporter om angreb, der har fundet sted. Sundhedsarbejdere er også travle og vant til at modtage branchekommunikation, hvilket gør en plausibel meddelelse nemmere at handle på uden et ekstra blik.
Hvad dette betyder for dig
Hvis du er sundhedsprofessionel i Japan og har brugt Pharma DIGITAL, skal du holde øje med officielle meddelelser fra Asahi Kasei Therapeutics eller leverandøren og følge deres instruktioner. Antag, at dit navn, din arbejdsplads og dit speciale kan være i omløb.
Hvis du ikke arbejder i sundhedssektoren, gælder læren stadig. Ethvert register, nyhedsbrevsportal eller registreringswebsted drevet af en tredjepart kan indeholde en profil af dig, som er værdifuld i sig selv. Du behøver ikke at miste en adgangskode, for at et brud kan påvirke dig.
Hvordan berørte fagfolk kan begrænse deres eksponering
Du kan ikke tage data tilbage, der allerede er eksponeret, men du kan reducere chancen for, at de bliver brugt imod dig:
- Tjek for brudmeddelelser. Læs enhver e-mail eller brev fra virksomheden eller leverandøren omhyggeligt, og bekræft det via en officiel kanal frem for et link i meddelelsen.
- Vær skeptisk over for meddelelser, der henviser til din arbejdsplads eller dit speciale. Personlige detaljer er ikke længere bevis på, at en afsender er ægte.
- Brug ikke links eller vedhæftede filer fra uventede meddelelser. Gå direkte til det kendte websted, eller ring til et nummer, du allerede stoler på.
- Brug unikke adgangskoder til hver portal. Hvis du genbruger en adgangskode fra et fagligt websted andre steder, skal du ændre den og bruge en adgangskodeadministrator.
- Slå multifaktor-godkendelse til, hvor det tilbydes, især for e-mail og arbejdskonti.
- Fortæl det til dit IT- eller sikkerhedsteam, hvis du modtager mistænkelige meddelelser, så kolleger kan advares.
Vigtige pointer
Asahi Kasei Therapeutics-databrudet viser, at en virksomheds eksponering kun er så stærk som dens leverandørers sikkerhed, og at navne, arbejdspladser og specialer kan være nok til at drive overbevisende svindel. Gennemgå enhver meddelelse, du modtager, behandl uventede meddelelser, der nævner dit job, med forsigtighed, og stram det grundlæggende på konti, du har hos faglige portaler. For bredere kontekst om cyberkriminalitet rettet mod japanske organisationer, læs vores rapport om Qilin-ransomware-anholdelsen i Japan.
