Was ShinyHunters von Abbott und anderen Gesundheitsunternehmen gestohlen hat

Eine neue Angriffswelle, die mit der Hackergruppe ShinyHunters in Verbindung gebracht wird, hat Abbott, den breit aufgestellten Gesundheits- und Pharmariesen, getroffen und den Betrieb im Bereich der Krebsmedikamentenforschung gestört. Im selben Berichtszyklus wurde bekannt, dass die National Association of Insurance Commissioners (NAIC) einen Datenschutzverstoß bestätigt hat, bei dem ShinyHunters behauptet, 3,1 TB an Daten gestohlen zu haben – mutmaßlich über eine Oracle-Zero-Day-Schwachstelle. Gleichzeitig meldete Novo Nordisk, der Hersteller von Ozempic und Wegovy, einen eigenen Cyberangriff und räumte ein, dass Daten aus klinischen Studien kompromittiert wurden.

Diese Vorfälle sind in Umfang und bestätigter Zuschreibung nicht identisch, doch zusammen zeichnen sie ein beunruhigendes Bild: Ein Datenschutzverstoß im Pharmabereich mit Beteiligung von ShinyHunters oder ähnlichen Taktiken ist kein Einzelfall mehr. Er entwickelt sich zu einem wiederkehrenden Merkmal des Gesundheits- und Life-Science-Sektors, in dem Forschungspipelines, Regulierungsbehörden und Arzneimittelhersteller gleichermaßen auf wertvollen Datenbeständen sitzen, die Hacker zunehmend erreichen können.

Warum klinische Studien und Gesundheitsdaten Hauptziele für Hacker sind

Daten aus klinischen Studien sind für Angreifer einzigartig wertvoll. Sie umfassen häufig Patientenidentifikatoren, Krankengeschichten, genetische Informationen und Details zu experimentellen Therapien, die sich noch in der regulatorischen Prüfung befinden. Für ein Unternehmen wie Abbott riskiert ein Angriff, der die Krebsmedikamentenforschung stört, nicht nur die Offenlegung von Daten, sondern kann auch die Entwicklung von Behandlungen verzögern, auf die Patienten warten. Bei Novo Nordisk erhöht die Offenlegung klinischer Studiendaten zu Blockbuster-Medikamenten wie Ozempic und Wegovy die Einsätze noch weiter, angesichts des enormen öffentlichen und finanziellen Interesses an diesen Produkten.

Der NAIC-Vorfall verdeutlicht ein anderes, aber verwandtes Risiko: Regulierungs- und Branchenorganisationen, die sensible Daten mehrerer Unternehmen bündeln, werden zu Single Points of Failure. Wenn ShinyHunters behauptet, 3,1 TB Daten über eine Oracle-Zero-Day-Lücke gestohlen zu haben, unterstreicht dies, wie eine einzige ungepatchte Schwachstelle in weit verbreiteter Unternehmenssoftware kaskadenartig eine ganze Branche treffen kann – und dabei Organisationen betrifft, die keinerlei Rolle bei der Entstehung der Lücke gespielt haben.

Wie ein Pharma-Datenleck zu Identitätsdiebstahl und Versicherungsbetrug führen kann

Gelangen Patienten- oder klinische Studiendaten in falsche Hände, reichen die Folgen weit über das betroffene Unternehmen hinaus. Medizinische Datensätze enthalten typischerweise eine reichhaltige Kombination persönlicher Angaben, darunter Namen, Geburtsdaten, Gesundheitszustände und mitunter Versicherungs- oder Finanzinformationen. In den falschen Händen können diese Daten für Identitätsdiebstahl, betrügerische Versicherungsansprüche oder gezielte Phishing-Kampagnen genutzt werden, die sich als Gesundheitsdienstleister oder Arzneimittelhersteller ausgeben.

Das ist kein hypothetisches Risiko. Datenschutzverletzungen im Gesundheitswesen haben wiederholt gezeigt, wie offengelegte Datensätze zu realem Schaden für Verbraucher führen. Der Hims & Hers-Datenleck legte beispielsweise geschützte Gesundheitsinformationen (Protected Health Information, PHI) offen und diente als Fallstudie dafür, wie schnell sensible medizinische Daten kompromittiert werden können und welche Schritte betroffene Patienten anschließend unternehmen mussten. Die Vorfälle bei Abbott und der NAIC folgen einem ähnlichen Muster: Sind medizinische oder klinische Daten erst einmal gestohlen, lassen sie sich nur noch schwer eindämmen, und die Personen, deren Daten betroffen sind, haben oft wenig Einblick, wo sie letztlich landen.

Maßnahmen, die Patienten und Verbraucher zum Schutz ihrer medizinischen Privatsphäre ergreifen können

Verbraucher haben in der Regel kaum Kontrolle darüber, wie Pharmaunternehmen, Versicherer oder Forschungseinrichtungen ihre Daten sichern, dennoch gibt es konkrete Schritte, die nach einem Pharma-Datenleck mit Beteiligung von ShinyHunters oder ähnlichen Akteuren sinnvoll sind.

Erstens: Achten Sie auf Benachrichtigungen über Datenschutzverletzungen von jedem Gesundheitsdienstleister, Versicherer oder Sponsor klinischer Studien, mit dem Sie zu tun hatten, und nehmen Sie diese ernst, auch wenn die Mitteilung routinemäßig erscheint. Zweitens: Überprüfen Sie Versicherungsabrechnungen und Arztrechnungen sorgfältig auf ungewöhnliche Posten – das kann ein frühes Anzeichen für Versicherungsbetrug mit gestohlenen Identitätsdaten sein. Drittens: Ziehen Sie eine Betrugswarnung oder eine Kreditsperre in Betracht, wenn Finanzinformationen Teil der offengelegten Daten waren. Viertens: Seien Sie skeptisch bei unaufgeforderten Anrufen oder E-Mails, die sich auf eine klinische Studie, ein Rezept oder einen Gesundheitszustand beziehen, denn Angreifer nutzen oft gestohlene medizinische Daten, um Phishing-Versuche überzeugender zu machen.

Was das für Sie bedeutet

Wenn Sie an einer klinischen Studie teilgenommen haben, Medikamente eines Unternehmens wie Novo Nordisk verwenden oder in irgendeiner Beziehung zu den Gesundheitsprodukten von Abbott stehen, sollten Sie in den kommenden Wochen wachsam gegenüber offiziellen Benachrichtigungen über Datenschutzverletzungen sein. Die Details, wessen Daten genau und in welchem Umfang betroffen sind, sind noch in der Klärung, doch das Muster dieser Vorfälle zeigt, dass Gesundheits- und Pharmadaten nach wie vor ein hochwertiges Ziel sind. Sie können die Oracle-Software nicht selbst patchen oder die internen Systeme von Abbott absichern, aber Sie können steuern, wie Sie reagieren, sobald Sie erfahren, dass Ihre Daten möglicherweise betroffen sind.

Kernpunkte

  • Stellen Sie fest, ob Sie direkt von Abbott, Novo Nordisk, NAIC oder einer angeschlossenen Organisation über diesen Vorfall benachrichtigt wurden.
  • Überwachen Sie in den kommenden Monaten medizinische und versicherungsbezogene Abrechnungen genau auf ungewöhnliche Aktivitäten.
  • Erwägen Sie eine Kreditsperre oder eine Betrugswarnung, falls Finanzdaten Teil der offengelegten Datensätze waren.
  • Bleiben Sie vorsichtig bei gesundheitsbezogenen Phishing-Versuchen, die auf spezifische Behandlungen oder Studienteilnahmen Bezug nehmen.
  • Sehen Sie sich an, wie andere Vorfälle mit Gesundheitsdaten, etwa das Hims & Hers-Datenleck, gehandhabt wurden, um zu verstehen, welche Schutzmaßnahmen betroffene Patienten erwarten sollten.