En sundhedsgigant slutter sig til afpresningsbølgen

McKesson, et af verdens største virksomheder, der håndterer sundhedsdata, har afsløret et større databrud, efter at en afpresningsgruppe hævdede at have stjålet hundredvis af millioner af registreringer fra dets cloud-systemer. Ifølge offentliggørelsen omfatter de stjålne data angiveligt patientidentifikatorer, medicinske detaljer, læge-patient-beskeder og endda registreringer knyttet til uhelbredelig sygdom og dødsårsag. Angriberne fik angiveligt adgang ved at phishe medarbejderes single-sign-on (SSO)-legitimationsoplysninger og krævede derefter en løsesum på $55 millioner. McKesson nægtede at betale.

Omfanget og følsomheden af de involverede data gør dette til en af de mere bekymrende hændelser i sundhedssektoren, der er kommet frem i år. I modsætning til brud, der er begrænset til navne og kontonumre, berører dette angiveligt de mest intime kategorier af personlige oplysninger: private medicinske kommunikationer og registreringer fra livets afslutning. Denne forskel betyder enormt meget for de mennesker, hvis data blev eksponeret, fordi denne slags information ikke kan nulstilles som en adgangskode eller erstattes som et kreditkort.

Hvorfor SSO-phishing fortsat virker

Den angrebsmetode, der er beskrevet i denne hændelse, phishing af medarbejderes single-sign-on-logins for at nå cloud-systemer, er ikke en ny teknik, men den er stadig ødelæggende effektiv. SSO-systemer er designet til at forenkle adgang ved at lade ét sæt legitimationsoplysninger låse op for flere interne værktøjer og cloud-platforme. Den bekvemmelighed er netop, hvad der gør dem til attraktive mål: et enkelt vellykket phishing-forsøg mod én medarbejder kan potentielt åbne døren til systemer, der indeholder hundredvis af millioner af registreringer.

Dette mønster med tyveri af legitimationsoplysninger som indgangspunkt er ikke unikt for ransomware-grupper. Statsrelaterede aktører har brugt lignende taktikker for at nå følsomme systemer, som set i nyere rapportering om påstande om, at vestlig malware målrettede russiske embedsmænds telefoner og i Singapores advarsel om statsrelaterede APT-angreb på national infrastruktur. Uanset om angriberen er en kriminel afpresningsgruppe eller en statsstøttet enhed, er den underliggende svaghed ofte den samme: en enkelt kompromitteret login-legitimation kan kaskadere til en massiv dataeksponering.

Privatlivsindsatsen ved tyveri af medicinske data

Det, der adskiller denne hændelse fra typiske virksomhedsdatabrud, er karakteren af de angiveligt stjålne data. Finansielle oplysninger kan overvåges og fryses. Medicinske detaljer, læge-patient-samtaler og registreringer, der dokumenterer uhelbredelig sygdom eller dødsårsag, kan ikke ændres eller udstedes på ny. Hvis disse registreringer faktisk blev eksfiltreret i det hævdede omfang, står de berørte mennesker over for en langsigtet privatlivseksponering uden nogen enkel løsning.

Der er også spørgsmålet om magt. Løsesumskrav opbygget omkring medicinske data og data fra livets afslutning er særligt tvangsmæssige, da truslen ikke kun er økonomisk tab, men også potentiel offentlig eksponering af nogle af de mest private øjeblikke i en persons liv eller en families sorg. McKessons beslutning om ikke at betale $55 millioner-kravet følger et mønster, som mange sikkerhedseksperter og retshåndhævende myndigheder anbefaler, da betaling ikke garanterer sletning af data og kan opmuntre til yderligere angreb. Men at nægte at betale betyder også, at de stjålne data stadig kan dukke op offentligt eller blive solgt, hvilket efterlader de berørte personer uden meget kontrol over, hvad der sker derefter.

Hvad dette betyder for dig

Hvis du nogensinde har interageret med McKessons sundhedsnetværk, hvad enten som patient, udbyder eller partnerorganisation, er dette brud en påmindelse om, at medicinske databrud har konsekvenser langt ud over en typisk adgangskodenulstilling. Hold øje med officielle brudmeddelelser, som ofte er påkrævet ved lov, når personlige sundhedsoplysninger er involveret, og tag enhver kommunikation fra McKesson eller tilknyttede sundhedsudbydere alvorligt.

Mere bredt understreger denne hændelse, hvor meget moderne databeskyttelse afhænger af forsvarsforanstaltninger på medarbejderniveau som phishing-bevidsthed og multi-faktor-autentificering, da en enkelt stjålet SSO-login angiveligt var nok til at eksponere registreringer knyttet til nogle af de mest følsomme dele af menneskers medicinske historikker.

Handlingsorienterede tiltag

  • Hold øje med officielle brudmeddelelser fra McKesson eller enhver tilknyttet sundhedsudbyder, og læs dem omhyggeligt i stedet for at afvise dem som rutine.
  • Vær opmærksom på phishing-forsøg, der henviser til dette brud; angribere udnytter ofte nyhedsdækning af større hændelser til at iværksætte opfølgende svindelnumre.
  • Hvis du modtager tilbud om identitetsbeskyttelse eller kreditovervågning knyttet til dette brud, så overvej at tilmelde dig, men verificér, at tilbuddet kommer direkte fra McKesson eller en verificeret partner.
  • Brug unikke, stærke adgangskoder og aktivér multi-faktor-autentificering på alle sundhedsportal-konti, du kontrollerer, da tyveri af legitimationsoplysninger forbliver det mest almindelige indgangspunkt i hændelser som denne.
  • Hold dig informeret om, hvordan sundhedsorganisationer reagerer på storstilede afpresningsforsøg, da udfaldet af denne sag kan påvirke, hvordan andre virksomheder håndterer lignende løsesumskrav i fremtiden.

McKesson-databruddene er et tydeligt eksempel på, hvordan phishing af et enkelt sæt login-legitimationsoplysninger kan eksponere dybt personlige medicinske oplysninger i enorm skala. Efterhånden som flere af disse hændelser kommer frem, forbliver det at være opmærksom på brudmeddelelser og praktisere stærk kontosikkerhed de mest praktiske forsvarsforanstaltninger, der er tilgængelige for enkeltpersoner.