Η παραβίαση δεδομένων της Asahi Kasei Therapeutics είναι ένα σαφές παράδειγμα του πώς ένας ιστότοπος που διαχειρίζεται προμηθευτής μπορεί να εκθέσει έναν ολόκληρο επαγγελματικό κατάλογο. Σύμφωνα με δημοσίευμα του Japan Cyber Watch, οι επιτιθέμενοι εισέβαλαν στο Pharma DIGITAL, έναν ιστότοπο που διαχειρίζεται προμηθευτής για λογαριασμό της Asahi Kasei Therapeutics για γιατρούς στην Ιαπωνία. Τα δεδομένα που εκτέθηκαν καλύπτουν τα ονόματα, τους χώρους εργασίας και τις ειδικότητες 514.000 ατόμων.
Οι λεπτομέρειες που είναι διαθέσιμες μέχρι στιγμής είναι περιορισμένες, και αυτό το άρθρο περιορίζεται σε ό,τι έχει αναφερθεί. Ακόμη και έτσι, η κλίμακα και ο τύπος των δεδομένων που εμπλέκονται αρκούν για να καταστήσουν την υπόθεση άξια κατανόησης, ιδιαίτερα για οποιονδήποτε έχει λογαριασμό σε επαγγελματική ή φαρμακευτική πύλη.
Τι εκτέθηκε στην παραβίαση του Pharma DIGITAL
Σύμφωνα με την αναφορά της πηγής, τα επηρεαζόμενα αρχεία ανήκουν σε 514.000 επαγγελματίες υγείας στην Ιαπωνία. Οι πληροφορίες που εκτέθηκαν περιλαμβάνουν τρεις κατηγορίες:
- Ονόματα
- Χώρους εργασίας
- Ιατρικές ειδικότητες
Η αναφορά δεν κάνει λόγο για κωδικούς πρόσβασης, οικονομικές λεπτομέρειες ή αρχεία ασθενών σε σχέση με αυτό το περιστατικό, και δεν έχουμε βάση να πούμε ότι εμπλέκονται. Αυτή η διάκριση έχει σημασία. Δεν πρόκειται για διαρροή ιατρικών φακέλων. Πρόκειται για διαρροή του ποιοι είναι οι άνθρωποι, πού εργάζονται και τι κάνουν.
Αυτό μπορεί να ακούγεται ασήμαντο σε σύγκριση με μια παραβίαση δεδομένων πληρωμών. Στην πράξη, μια επαληθευμένη λίστα επαγγελματιών με τους εργοδότες και τις ειδικότητές τους είναι ένα χρήσιμο περιουσιακό στοιχείο για οποιονδήποτε σχεδιάζει να επικοινωνήσει με αυτούς τους ανθρώπους με ψευδείς προφάσεις.
Πώς μια πύλη που διαχειρίζεται προμηθευτής έγινε το αδύναμο σημείο
Το Pharma DIGITAL δεν λειτουργούσε άμεσα από την Asahi Kasei Therapeutics. Ήταν ένας ιστότοπος που διαχειρίζεται προμηθευτής, εξυπηρετώντας το κοινό γιατρών της εταιρείας. Αυτή είναι μια συνηθισμένη ρύθμιση: οι φαρμακευτικές εταιρείες συχνά βασίζονται σε εξωτερικούς παρόχους για τη φιλοξενία πυλών πληροφοριών, συστημάτων εγγραφής και εργαλείων επικοινωνίας για επαγγελματίες υγείας.
Το αντιστάθμισμα είναι ότι τα δεδομένα καταλήγουν σε ένα σύστημα που η εταιρεία δεν ελέγχει πλήρως καθημερινά. Η ασφάλεια εξαρτάται από τις ενημερώσεις, τους ελέγχους πρόσβασης και την παρακολούθηση του προμηθευτή, και ένας επισκέπτης ή εγγεγραμμένος δεν έχει εύκολο τρόπο να δει πόσο καλά αυτά διαχειρίζονται. Όταν οι επιτιθέμενοι μπαίνουν σε έναν τέτοιο ιστότοπο, η επωνυμία στην μπροστινή πόρτα ανήκει σε έναν οργανισμό ενώ η αποτυχία βρίσκεται σε έναν άλλο.
Για άτομα με λογαριασμούς, το πρακτικό δίδαγμα είναι ότι το όνομα της εταιρείας που εμπιστεύεστε είναι μόνο μέρος της εικόνας. Τα δεδομένα που παραδίδετε μπορεί να κατέχονται από μια αλυσίδα προμηθευτών. Η ευρύτερη πίεση του κυβερνοεγκλήματος σε ιαπωνικούς οργανισμούς αξίζει επίσης να ληφθεί υπόψη, και η κάλυψή μας για τον ύποπτο ransomware Qilin που συνελήφθη στην Ιαπωνία παρέχει χρήσιμο πλαίσιο, αν και αυτή η υπόθεση είναι ξεχωριστό ζήτημα και δεν αναφέρεται ότι συνδέεται με αυτή την παραβίαση.
Γιατί οι διαρρεύσασες επαγγελματικές λεπτομέρειες επιτρέπουν στοχευμένο phishing
Το γενικό phishing βασίζεται στον όγκο και την τύχη. Το στοχευμένο phishing βασίζεται στην αξιοπιστία. Ένα μήνυμα που απευθύνεται σε έναν γιατρό με το όνομά του, αναφέρει το νοσοκομείο ή την κλινική όπου εργάζεται και αναφέρεται στην ειδικότητά του φαίνεται πολύ πιο νόμιμο από ένα μαζικό email για έναν κλειδωμένο λογαριασμό.
Με τα δεδομένα που αναφέρεται ότι εκτέθηκαν εδώ, ένας επιτιθέμενος θα μπορούσε να δημιουργήσει μηνύματα όπως:
- Μια ψεύτικη ειδοποίηση από μια φαρμακευτική εταιρεία για ένα νέο προϊόν σχετικό με μια συγκεκριμένη ειδικότητα
- Μια ψευδή πρόσκληση σε ιατρικό σεμινάριο ή webinar με σύνδεσμο σύνδεσης
- Ένα μήνυμα που υποδύεται έναν διαχειριστή νοσοκομείου ή το τμήμα IT
- Ένα ψεύτικο αίτημα επαλήθευσης στοιχείων λογαριασμού σε μια πύλη που ο παραλήπτης χρησιμοποιεί ήδη
Αυτά είναι παραδείγματα του πώς τέτοια δεδομένα μπορούν να χρησιμοποιηθούν κακόβουλα, όχι αναφορές επιθέσεων που έχουν συμβεί. Οι εργαζόμενοι στον τομέα υγείας είναι επίσης απασχολημένοι και συνηθισμένοι να λαμβάνουν επικοινωνίες από τον κλάδο, γεγονός που κάνει ένα αξιόπιστο μήνυμα ευκολότερο να ενεργήσει κανείς χωρίς δεύτερη ματιά.
Τι Σημαίνει Αυτό Για Εσάς
Εάν είστε επαγγελματίας υγείας στην Ιαπωνία και έχετε χρησιμοποιήσει το Pharma DIGITAL, προσέξτε για επίσημες ειδοποιήσεις από την Asahi Kasei Therapeutics ή τον προμηθευτή και ακολουθήστε τις οδηγίες τους. Υποθέστε ότι το όνομά σας, ο χώρος εργασίας σας και η ειδικότητά σας μπορεί να βρίσκονται σε κυκλοφορία.
Εάν δεν εργάζεστε στον τομέα υγείας, το δίδαγμα εξακολουθεί να ισχύει. Οποιοσδήποτε κατάλογος, πύλη ενημερωτικών δελτίων ή ιστότοπος εγγραφής που διαχειρίζεται τρίτος μπορεί να κατέχει ένα προφίλ σας που είναι πολύτιμο από μόνο του. Δεν χρειάζεται να χάσετε έναν κωδικό πρόσβασης για να σας επηρεάσει μια παραβίαση.
Πώς οι επηρεαζόμενοι επαγγελματίες μπορούν να περιορίσουν την έκθεσή τους
Δεν μπορείτε να πάρετε πίσω δεδομένα που έχουν ήδη εκτεθεί, αλλά μπορείτε να μειώσετε την πιθανότητα να χρησιμοποιηθούν εναντίον σας:
- Ελέγξτε για ειδοποιήσεις παραβίασης. Διαβάστε προσεκτικά οποιοδήποτε email ή επιστολή από την εταιρεία ή τον προμηθευτή και επιβεβαιώστε το μέσω επίσημου καναλιού παρά μέσω συνδέσμου μέσα στο μήνυμα.
- Να είστε δύσπιστοι απέναντι σε μηνύματα που αναφέρουν τον χώρο εργασίας ή την ειδικότητά σας. Οι προσωπικές λεπτομέρειες δεν αποτελούν πλέον απόδειξη ότι ο αποστολέας είναι γνήσιος.
- Μην χρησιμοποιείτε συνδέσμους ή συνημμένα από απροσδόκητα μηνύματα. Πηγαίνετε απευθείας στον γνωστό ιστότοπο ή καλέστε έναν αριθμό που ήδη εμπιστεύεστε.
- Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης για κάθε πύλη. Εάν επαναχρησιμοποιείτε έναν κωδικό πρόσβασης από έναν επαγγελματικό ιστότοπο αλλού, αλλάξτε τον και χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου προσφέρεται, ειδικά για email και επαγγελματικούς λογαριασμούς.
- Ενημερώστε την ομάδα IT ή ασφάλειας σας για ύποπτα μηνύματα ώστε να προειδοποιηθούν οι συνάδελφοι.
Βασικά συμπεράσματα
Η παραβίαση δεδομένων της Asahi Kasei Therapeutics δείχνει ότι η έκθεση μιας εταιρείας είναι τόσο ισχυρή όσο η ασφάλεια των προμηθευτών της, και ότι ονόματα, χώροι εργασίας και ειδικότητες μπορούν να αρκούν για να τροφοδοτήσουν πειστικές απάτες. Ελέγξτε οποιαδήποτε ειδοποίηση λαμβάνετε, αντιμετωπίστε με precauzione απροσδόκητα μηνύματα που αναφέρουν τη δουλειά σας και ενισχύστε τα βασικά σε λογαριασμούς που διατηρείτε σε επαγγελματικές πύλες. Για ευρύτερο πλαίσιο σχετικά με το κυβερνοέγκλημα που στοχεύει ιαπωνικούς οργανισμούς, διαβάστε την αναφορά μας για τη σύλληψη για ransomware Qilin στην Ιαπωνία.
