Die Asahi Kasei Therapeutics-Datenpanne ist ein klares Beispiel dafür, wie eine von einem Dienstleister betriebene Website ein ganzes Berufsverzeichnis offenlegen kann. Berichten von Japan Cyber Watch zufolge brachen Angreifer in Pharma DIGITAL ein, eine Website, die von einem Dienstleister im Auftrag von Asahi Kasei Therapeutics für Ärzte in Japan betrieben wird. Die offengelegten Daten umfassen die Namen, Arbeitsstätten und Fachgebiete von 514.000 Personen.
Die bisher verfügbaren Details sind begrenzt, und dieser Beitrag beschränkt sich auf das, was berichtet wurde. Dennoch reichen das Ausmaß und die Art der betroffenen Daten aus, um den Fall verständlich zu machen, insbesondere für alle, die ein Konto auf einem Berufs- oder Pharma-Portal haben.
Was bei der Pharma DIGITAL-Datenpanne offengelegt wurde
Dem Quellbericht zufolge gehören die betroffenen Datensätze zu 514.000 Angehörigen der Gesundheitsberufe in Japan. Die offengelegten Informationen umfassen drei Kategorien:
- Namen
- Arbeitsstätten
- Medizinische Fachgebiete
Der Bericht erwähnt im Zusammenhang mit diesem Vorfall keine Passwörter, Finanzdaten oder Patientendatensätze, und es gibt keine Grundlage für die Annahme, dass diese betroffen waren. Diese Unterscheidung ist wichtig. Dies ist kein Leck von medizinischen Akten. Es ist ein Leck darüber, wer die Menschen sind, wo sie arbeiten und was sie tun.
Das mag im Vergleich zu einer Datenpanne bei Zahlungsdaten gering erscheinen. In der Praxis ist eine verifizierte Liste von Fachkräften mit ihren Arbeitgebern und Fachgebieten ein nützliches Gut für jeden, der plant, diese Personen unter falschen Vorwänden zu kontaktieren.
Wie ein von einem Dienstleister betriebenes Portal zum Schwachpunkt wurde
Pharma DIGITAL wurde nicht direkt von Asahi Kasei Therapeutics betrieben. Es war eine von einem Dienstleister betriebene Website, die die Ärzteschaft des Unternehmens bediente. Dies ist eine gängige Regelung: Pharmaunternehmen verlassen sich oft auf externe Anbieter, um Informationsportale, Registrierungssysteme und Kommunikationstools für medizinisches Fachpersonal zu hosten.
Der Kompromiss besteht darin, dass die Daten in einem System landen, das das Unternehmen nicht täglich vollständig kontrolliert. Die Sicherheit hängt vom Patchen, den Zugriffskontrollen und der Überwachung des Dienstleisters ab, und ein Besucher oder Registrant hat keine einfache Möglichkeit zu erkennen, wie gut diese gehandhabt werden. Wenn Angreifer in eine solche Website eindringen, gehört die Marke auf der Vordertür einer Organisation, während das Versagen bei einer anderen liegt.
Für Personen mit Konten lautet die praktische Lehre, dass der Name des Unternehmens, dem man vertraut, nur ein Teil des Bildes ist. Die Daten, die man weitergibt, können von einer Kette von Zulieferern gehalten werden. Der breitere Druck der Cyberkriminalität auf japanische Organisationen ist ebenfalls zu bedenken, und unsere Berichterstattung über den in Japan festgenommenen Qilin-Ransomware-Verdächtigen liefert nützlichen Kontext, obwohl dieser Fall eine separate Angelegenheit ist und Berichten zufolge nicht mit dieser Datenpanne in Verbindung steht.
Warum geleakte berufliche Details gezieltes Phishing ermöglichen
Generisches Phishing setzt auf Masse und Glück. Gezieltes Phishing setzt auf Glaubwürdigkeit. Eine Nachricht, die einen Arzt mit Namen anspricht, das Krankenhaus oder die Klinik erwähnt, in der er arbeitet, und auf sein Fachgebiet Bezug nimmt, wirkt weitaus legitimer als eine Massen-E-Mail über ein gesperrtes Konto.
Mit den hier Berichten zufolge offengelegten Daten könnte ein Angreifer Nachrichten wie die folgenden erstellen:
- Eine gefälschte Mitteilung eines Pharmaunternehmens über ein neues Produkt, das für ein bestimmtes Fachgebiet relevant ist
- Eine falsche Einladung zu einem medizinischen Seminar oder Webinar mit einem Login-Link
- Eine Nachricht, die einen Krankenhausverwalter oder die IT-Abteilung imitiert
- Eine gefälschte Aufforderung, Kontodetails auf einem Portal zu überprüfen, das der Empfänger bereits nutzt
Dies sind Beispiele dafür, wie solche Daten missbraucht werden können, nicht Berichte über tatsächlich stattgefundene Angriffe. Beschäftigte im Gesundheitswesen sind zudem beschäftigt und daran gewöhnt, Branchenmitteilungen zu erhalten, was es einfacher macht, auf eine plausible Nachricht ohne zweites Hinsehen zu reagieren.
Was das für Sie bedeutet
Wenn Sie im Gesundheitswesen in Japan tätig sind und Pharma DIGITAL genutzt haben, achten Sie auf offizielle Mitteilungen von Asahi Kasei Therapeutics oder dem Dienstleister und befolgen Sie deren Anweisungen. Gehen Sie davon aus, dass Ihr Name, Ihre Arbeitsstätte und Ihr Fachgebiet im Umlauf sein könnten.
Wenn Sie nicht im Gesundheitswesen arbeiten, gilt die Lehre dennoch. Jedes Verzeichnis, Newsletter-Portal oder Registrierungswebsite, das von einem Dritten betrieben wird, kann ein Profil über Sie enthalten, das für sich genommen wertvoll ist. Sie müssen nicht ein Passwort verlieren, damit eine Datenpanne Sie betrifft.
Wie betroffene Fachkräfte ihre Exposition begrenzen können
Sie können bereits offengelegte Daten nicht zurückholen, aber Sie können die Wahrscheinlichkeit verringern, dass sie gegen Sie verwendet werden:
- Prüfen Sie auf Datenpannen-Benachrichtigungen. Lesen Sie jede E-Mail oder jeden Brief des Unternehmens oder Dienstleisters sorgfältig und bestätigen Sie ihn über einen offiziellen Kanal statt über einen Link innerhalb der Nachricht.
- Seien Sie skeptisch bei Nachrichten, die Ihre Arbeitsstätte oder Ihr Fachgebiet erwähnen. Persönliche Details sind kein Beweis mehr dafür, dass ein Absender echt ist.
- Verwenden Sie keine Links oder Anhänge aus unerwarteten Nachrichten. Gehen Sie direkt auf die bekannte Website oder rufen Sie eine Nummer an, der Sie bereits vertrauen.
- Verwenden Sie einzigartige Passwörter für jedes Portal. Wenn Sie ein Passwort von einer Berufswebsite woanders wiederverwenden, ändern Sie es und verwenden Sie einen Passwort-Manager.
- Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, insbesondere für E-Mail- und Arbeitskonten.
- Informieren Sie Ihr IT- oder Sicherheitsteam über verdächtige Nachrichten, damit Kollegen gewarnt werden können.
Wichtigste Erkenntnisse
Die Asahi Kasei Therapeutics-Datenpanne zeigt, dass die Exposition eines Unternehmens nur so stark ist wie die Sicherheit seiner Dienstleister, und dass Namen, Arbeitsstätten und Fachgebiete ausreichen können, um überzeugende Betrugsmaschen zu ermöglichen. Prüfen Sie jede Benachrichtigung, die Sie erhalten, behandeln Sie unerwartete Nachrichten, die Ihren Beruf erwähnen, mit Vorsicht und stärken Sie die Grundlagen bei Konten, die Sie bei Berufsportalen haben. Für einen breiteren Kontext zur Cyberkriminalität gegen japanische Organisationen lesen Sie unseren Bericht über die Qilin-Ransomware-Festnahme in Japan.
