Vermonts justitsminister: Sundhedsproduktfirma ramt af datalæk, 48.000 borgere berørt

Vermonts justitsminister bekræfter læk, der berører titusindvis

Vermonts justitsminister har meddelt, at et datalæk hos et sundhedsproduktfirma har kompromitteret personlige oplysninger for mere end 48.000 af statens borgere. Ifølge meddelelsen skete hændelsen i juni, og det involverede firma er ikke blevet offentligt navngivet i statens offentliggørelse. Selvom de indtil videre frigivne detaljer er begrænsede, er omfanget af lækket – der berører en betydelig del af Vermonts befolkning – en påmindelse om, hvor meget følsom information der flyder gennem virksomheder, der ligger tæt på sundhedssystemet, men som ikke altid er kendte navne.

Denne form for offentliggørelse bliver efterhånden rutine. Stater som Vermont kræver, at virksomheder underretter justitsministerens kontor, når borgeres data bliver eksponeret, hvilket ofte er den måde, offentligheden overhovedet får kendskab til disse hændelser. Selve virksomheden kommer sjældent i overskrifterne, før en myndighed eller vagthund træder til.

Hvorfor sundhedsrelaterede virksomheder er attraktive mål

Sundhedsproduktfirmaer, herunder dem der sælger holdbart medicinsk udstyr, forsyninger eller wellness-produkter, indsamler ofte en overraskende mængde følsomme data: navne, adresser, fødselsdatoer, forsikringsoplysninger og nogle gange kliniske oplysninger knyttet til en kundes medicinske behov. Den kombination gør disse virksomheder til værdifulde mål for angribere, selv når virksomheden i sig selv ikke er et hospital eller en forsikringsudbyder.

Et centralt problem er, at mange af disse virksomheder falder uden for de strenge rammer af HIPAA, den føderale lov de fleste forbinder med medicinsk privatliv. HIPAA gælder generelt for sundhedsudbydere, forsikringsselskaber og deres direkte forretningspartnere. Virksomheder, der sælger sundhedsrelaterede produkter, men som ikke leverer klinisk behandling, kan ende i en gråzone, hvor de indsamler sundhedsrelaterede data uden at være underlagt samme lovmæssige standard som et hospital eller en klinik. Det hul betyder, at krav til anmeldelse af læk og sikkerhed kan variere betydeligt afhængigt af statens lovgivning, som Vermonts, frem for en enkelt føderal standard.

Det bredere mønster bag disse læk

Denne hændelse passer ind i en større tendens, hvor angribere går efter virksomheder, der håndterer værdifulde personoplysninger, men som måske ikke har de samme sikkerhedsressourcer som større sundheds- eller finansielle institutioner. Ransomware-grupper er især blevet mere sofistikerede i, hvordan de infiltrerer og forbliver i virksomheders netværk. Nogle er endda gået over til decentraliseret infrastruktur for at holde deres operationer kørende efter forsøg på nedlukning, som set med DeadLock-ransomwares brug af blockchain-infrastruktur for at undgå forstyrrelser.

Angribere udnytter også i stigende grad de værktøjer, organisationer selv bruger til at sikre fjernadgang. Sikkerhedsforskere har dokumenteret ransomware-grupper, der målretter VPN-fejl i udbredte enterprise-produkter, og bruger dem som indgang til virksomhedssystemer. Fejlkonfigurerede systemer og eksponerede databaser er fortsat et almindeligt tema på tværs af mange læk – ikke ulig eksponeringen set i FTF Live Kibana-lækket, der eksponerede millioner af sessionsregistreringer, som viste, hvordan et enkelt fejlkonfigureret dashboard kan sætte enorme mængder brugerdata på spil. Ingen af disse eksempler er bekræftede årsager til Vermont-lækket, men de illustrerer den række af taktikker, angribere nu bruger mod organisationer af alle størrelser.

Hvad dette betyder for dig

Hvis du har modtaget en underretning, eller tror du kan være berørt, fordi du har købt sundhedsprodukter eller forsyninger fra et firma, der senere oplyste om et læk, så tag meddelelsen alvorligt, selvom den ikke udpensler alle detaljer. Sundhedsrelaterede data, herunder forsikringsoplysninger og sygehistorie, kan bruges til målrettet phishing, forsikringssvindel eller identitetstyveri, der er sværere at opdage end et simpelt stjålent kreditkortnummer.

Start med at gennemgå eventuelle anmeldelsesbreve om lækket omhyggeligt og tjek dine sundhedsforsikringsopgørelser for ukendte krav. Overvej at få oprettet en svindeladvarsel eller et frysepålæg på din kredit hos de store kreditbureauer, hvis finansielle eller forsikringsdata var involveret. Brug af en adgangskodeadministrator, såsom Dashlane, kan hjælpe dig med at opretholde unikke, stærke adgangskoder på tværs af sundheds- og shoppingkonti, hvilket reducerer risikoen for, at én lækket adgangskode åbner andre konti. Hvis du jævnligt søger efter helbredstilstande eller produkter online, kan brug af en VPN også tilføje et lag af privatliv ved at gøre det sværere for tredjeparter at knytte din browseraktivitet til din identitet.

Konkrete tiltag

• Hold øje med officielle anmeldelsesbreve om læk, og læs dem omhyggeligt, selvom detaljerne er begrænsede.
• Overvåg forsikringsopgørelser og lægeregninger for ukendt aktivitet.
• Frys din kredit eller opret svindeladvarsler, hvis følsomme personoplysninger blev eksponeret.
• Brug en adgangskodeadministrator for at undgå at genbruge legitimationsoplysninger på tværs af sundhedsrelaterede konti.
• Overvej en VPN, når du undersøger sundhedsemner eller handler medicinske produkter online.

Læk som dette understreger en simpel sandhed: dine sundhedsdata behøver ikke at passere gennem et hospital for at være værdifulde for angribere. Efterhånden som flere virksomheder i sundhedsproduktbranchen indsamler og opbevarer personlige oplysninger, forbliver det at være opmærksom på anmeldelser om læk og praktisere grundlæggende digital hygiejne en af de mest effektive måder at beskytte dig selv på.