Hvor mange patientjournaler blev eksponeret i Oracle Health-databruddet?

Bruddet eksponerede angiveligt næsten 20 millioner patientjournaler på tværs af omkring 80 amerikanske hospitaler, ifølge en rapport fra sikkerhedsfirmaet Rescana. Det præcise tal stammer fra rapportering snarere end en enkelt bekræftet optælling, så det bør behandles med en vis forsigtighed.

Hvilke typer patientdata blev eksponeret i bruddet?

De eksponerede ePHI omfattede navne, Social Security-numre, journalnumre, diagnoser og medicin, testresultater, medicinske billeder og lægens navn. Denne kombination er særligt farlig, fordi den giver kriminelle en detaljeret personlig profil.

Hvorfor er stjålne legitimationsoplysninger sværere at opdage end malware-baserede angreb?

Sikkerhedsværktøjer leder typisk efter ondsindede filer, usædvanlige processer eller kendte angrebsmønstre, men en person, der logger ind med rigtige legitimationsoplysninger, ser ud som en autoriseret bruger. Firewalls og perimeterforsvar er bygget til at holde uvedkommende ude, men gør lidt mod en person med en gyldig nøgle.

Oracle Health-brud: 20 mio. journaler eksponeret via stjålne logins

Q: Brugte angriberne malware eller ransomware til at bryde ind i Oracle Health?

Nej, ifølge rapporten var der ingen beviser for udrulning af malware, ransomware eller automatiserede værktøjer. Angrebet var manuelt og stolede udelukkende på tyveri af legitimationsoplysninger og direkte adgang til serverne.

Et manuelt indbrud, der udnyttede stjålne legitimationsoplysninger frem for malware, er omdrejningspunktet i historien om Oracle Health-databruddet med patientjournaler. Ifølge en rapport fra sikkerhedsfirmaet Rescana har angrebet på Oracle Healths (tidligere Cerner) systemer angiveligt eksponeret næsten 20 millioner patientjournaler på tværs af omkring 80 amerikanske hospitaler. Detaljerne er en nyttig påmindelse om, at et gyldigt brugernavn og en adgangskode kan være farligere end en exploit.

Dette indlæg gennemgår, hvad der angiveligt blev stjålet, hvordan angriberen kom ind, og de praktiske skridt patienter og almindelige brugere kan tage nu.

Hvilke data blev eksponeret i Oracle Health-bruddet

Ifølge Rescanas rapport eksfiltrerede angriberen store mængder elektronisk beskyttet helbredsinformation (ePHI). De nævnte kategorier omfatter:

Navne
Social Security-numre
Journalnumre
Diagnoser og medicin
Testresultater
Medicinske billeder
Lægens navn

Den kombination betyder noget. Et Social Security-nummer alene er et alvorligt problem, men sammen med diagnoser, medicin og navnet på en behandlende læge giver det en kriminel en detaljeret profil. Helbredsdata kan ikke genudstedes som et kreditkortnummer, så risikoen kan vare i årevis.

De stjålne data blev angiveligt brugt i et afpresningsforsøg, hvor angriberen krævede en løsesum. For den bredere skala af hændelsen, se vores tidligere dækning: Oracle Health-databrud ramte angiveligt 20 millioner mennesker. Tallet stammer fra rapportering snarere end en enkelt bekræftet optælling, så behandl det præcise tal med en vis forsigtighed.

Hvordan stjålne legitimationsoplysninger omgik forsvar uden malware

Et af de mest bemærkelsesværdige fund er, hvad efterforskerne ikke så. Ifølge rapporten er der ingen beviser for udrulning af malware, ransomware eller automatiserede værktøjer. Angrebet var manuelt og stolede udelukkende på tyveri af legitimationsoplysninger og direkte adgang til serverne.

Det er derfor, denne form for indbrud er svær at opdage. Sikkerhedsværktøjer leder ofte efter ondsindede filer, usædvanlige processer eller kendte angrebsmønstre. En person, der logger ind med rigtige legitimationsoplysninger, ser ved første øjekast ud som en autoriseret bruger. Firewalls og andre perimeterforsvar er bygget til at holde uvedkommende ude, men de har ikke meget at sige om en person, der går ind med en gyldig nøgle.

Mønsteret er ikke unikt for sundhedssektoren. Andre nylige hændelser i vores dækning peger på samme tema om, at adgang er det svage led, herunder Novo Nordisk-bruddet knyttet til udnyttede GitHub-tokens. Forskellige virksomheder, forskellige detaljer, men den fælles tråd er, at stjålet adgangsmateriale kan åbne døre, som tekniske forsvar antager er lukkede.

For organisationer er læringspunkterne velkendte: håndhæv multifaktorautentificering på alle fjernadgangs- og administrative veje, udfas ældre systemer eller isoler dem omhyggeligt, overvåg for usædvanlige logins, og begræns hvad en enkelt konto kan nå. Meddelelser fra nogle hospitaler beskriver det berørte miljø som ældre Cerner-systemer, hvilket understreger, hvorfor ældre infrastruktur fortjener ekstra granskning.

Hvad berørte patienter bør gøre nu

Hvis dit hospital eller din behandler bruger Oracle Health- eller Cerner-systemer, kan du modtage en meddelelse pr. post eller e-mail. Her er en fornuftig rækkefølge.

Læs enhver brudmeddelelse omhyggeligt. Den bør forklare, hvad der blev stjålet, og kan tilbyde gratis kreditovervågning eller identitetsbeskyttelse. Benyt den, hvis den tilbydes.
Bekræft, at meddelelser er ægte. Svindlere udnytter ofte nyheder om databrud. Kontakt din behandler via et telefonnummer fra den officielle hjemmeside, ikke fra en uventet besked.
Spærring af din kredit. En spærring hos de tre store kreditbureauer er gratis og blokerer de fleste forsøg på at åbne nye konti i dit navn. Du kan ophæve den midlertidigt, når du har brug for kredit.
Gennemgå forsikringsopgørelser. Se på forklaringer på ydelser for tjenester, du ikke har modtaget. Medicinsk identitetstyveri kan dukke op der først.
Vær opmærksom på afpresningslignende beskeder. Hvis en fremmed henviser til din diagnose eller medicin, skal du ikke betale eller svare. Rapportér det til din behandler, og overvej at anmelde det til myndighederne.

Sikring af dine sundhedsportal- og konto-logins

Da legitimationsoplysninger var indgangspunktet i denne sag, er dine egne logins værd at stramme op, især for patientportaler, e-mail og alt knyttet til forsikring.

Brug en unik adgangskode til hver konto. En adgangskodeadministrator gør dette realistisk. Genbrug er det, der gør ét læk til mange.
Slå multifaktorautentificering til. En autentificeringsapp eller hardwarenøgle er stærkere end SMS-koder, hvor det er muligt.
Sikr din e-mail først. Din indbakke er nulstillingsvejen for næsten alt andet.
Vær på vagt over for phishing. E-mails og sms'er med brudtemaer presser dig ofte til at "bekræfte" et login. Gå direkte til webstedet i stedet.
Undgå offentlig Wi-Fi til følsomme logins, eller brug en velrenommeret VPN, hvis du er nødt til det. En VPN beskytter trafik undervejs, men den ville ikke have forhindret et brud på en udbyders servere.

Sundhedssektoren har været et gentaget mål. Vores rapportering om ShinyHunters-knyttede angreb involverende Abbott og NAIC viser, hvordan afpresningsgrupper forfølger følsomme helbredsrelaterede data på tværs af sektoren.

Hvad dette betyder for dig

Du kan ikke kontrollere, hvordan et hospitals leverandør opbevarer dine journaler, men du kan begrænse skaden, hvis de lækker. Kerneidéen er at gøre stjålne data mindre anvendelige: spær din kredit, så dit Social Security-nummer ikke nemt kan åbne nye konti, og brug unikke adgangskoder med MFA, så ét stjålet login ikke kan låse op for andre. Vær opmærksom på beskeder, der nævner dine helbredsoplysninger, for afpresning og phishing følger ofte efter brud som dette.

Vigtige pointer

Det rapporterede Oracle Health-indbrud var manuelt og drevet af legitimationsoplysninger, uden beviser for malware eller ransomware.
Eksponerede data omfatter angiveligt SSN'er, diagnoser, medicin, testresultater og medicinske billeder.
Tjek enhver brudmeddelelse, spær din kredit, og overvåg forsikringsopgørelser.
Brug unikke adgangskoder og MFA på portaler og e-mail.

For det større billede af historien om Oracle Health-databruddet med patientjournaler, læs vores dækning af tallet på 20 millioner personer, og brug derefter et par minutter i dag på at sikre dine egne konti.