Vermontin oikeusministeri vahvistaa kymmeniä tuhansia koskettavan tietomurron
Vermontin oikeusministeri on ilmoittanut, että terveystuotealan yrityksen tietomurrossa vaarantui yli 48 000 osavaltion asukkaan henkilötiedot. Ilmoituksen mukaan tapahtuma sattui kesäkuussa, eikä osavaltion tiedotteessa ole nimetty yritystä julkisesti. Vaikka tähän mennessä julkaistut tiedot ovat rajalliset, murron laajuus – joka koskettaa merkittävää osaa Vermontin väestöstä – muistuttaa siitä, kuinka paljon arkaluonteista tietoa kulkee terveydenhuoltojärjestelmän liepeillä toimivien yritysten kautta, jotka eivät aina ole suuren yleisön tuntemia.
Tällaiset tiedonannot ovat alkaneet käydä arkipäiväisiksi. Osavaltiot kuten Vermont velvoittavat yritykset ilmoittamaan oikeusministerin toimistolle, kun asukkaiden tietoja on altistunut, ja usein juuri tätä kautta yleisö saa tietää tapahtumista. Itse yritys pääsee harvoin otsikoihin ennen kuin viranomainen tai valvoja puuttuu asiaan.
Miksi terveydenhuollon liepeillä toimivat yritykset ovat houkuttelevia kohteita
Terveystuotealan yritykset – mukaan lukien kestävien lääkinnällisten laitteiden, tarvikkeiden tai hyvinvointituotteiden myyjät – keräävät usein yllättävän paljon arkaluonteista tietoa: nimiä, osoitteita, syntymäaikoja, vakuutustietoja ja joskus asiakkaan lääketieteellisiin tarpeisiin liittyviä kliinisiä tietoja. Tämä yhdistelmä tekee yrityksistä arvokkaita kohteita hyökkääjille, vaikka yritys ei itse olisikaan sairaala tai vakuutuspalveluntarjoaja.
Keskeinen ongelma on, että monet näistä yrityksistä jäävät HIPAA-lain tiukkojen rajojen ulkopuolelle. HIPAA on liittovaltion laki, jonka useimmat yhdistävät lääketieteelliseen yksityisyyteen. HIPAA koskee yleensä terveydenhuollon tarjoajia, vakuutusyhtiöitä ja niiden suoria liikekumppaneita. Yritykset, jotka myyvät terveyteen liittyviä tuotteita mutta eivät tarjoa kliinistä hoitoa, voivat päätyä harmaalle alueelle: ne keräävät terveyteen liittyvää tietoa ilman, että niihin sovelletaan samoja sääntelyvaatimuksia kuin sairaaloihin tai klinikoihin. Tämä aukko tarkoittaa, että tietomurtoilmoitus- ja tietoturvavaatimukset voivat vaihdella merkittävästi osavaltiolain, kuten Vermontin lain, mukaan sen sijaan että ne perustuisivat yhtenäiseen liittovaltion standardiin.
Laajempi kaava näiden tietomurtojen taustalla
Tämä tapaus sopii laajempaan trendiin, jossa hyökkääjät kohdistuvat yrityksiin, jotka käsittelevät arvokkaita henkilötietoja mutta joilla ei välttämättä ole suurempien terveydenhuolto- tai rahoituslaitosten tietoturvaresursseja. Erityisesti kiristysohjelmaryhmät ovat kehittyneet yhä sofistikoidummiksi tunkeutumis- ja verkostoissa pysymistekniikoissaan. Jotkut ovat jopa siirtyneet hajautettuun infrastruktuuriin pitääkseen toimintansa käynnissä alasajoyritysten jälkeen, kuten on nähty DeadLock-kiristysohjelman lohkoketjuinfrastruktuurin käytössä häirintäyritysten väistämiseksi.
Hyökkääjät hyödyntävät myös yhä useammin niitä työkaluja, joita organisaatiot käyttävät etäyhteyksien suojaamiseen. Tietoturvatutkijat ovat dokumentoineet kiristysohjelmajengien kohdistavan iskuja laajalti käytettyjen yritystuotteiden VPN-haavoittuvuuksiin, käyttäen niitä sisäänpääsyväylänä yritysverkkoihin. Väärin konfiguroidut järjestelmät ja altistuneet tietokannat ovat edelleen yleinen teema monissa tietomurroissa, ei toisin kuin FTF Live Kibana -vuoto, joka altisti miljoonia istuntotietueita ja osoitti, kuinka yksittäinen väärin konfiguroitu hallintapaneeli voi asettaa valtavia määriä käyttäjätietoja riskiin. Mikään näistä esimerkeistä ei ole vahvistettu Vermontin tietomurron syy, mutta ne havainnollistavat niitä taktiikoita, joita hyökkääjät nykyään käyttävät kaikenkokoisia organisaatioita vastaan.
Mitä tämä tarkoittaa sinulle
Jos olet saanut ilmoituksen tai epäilet olevasi vaikuttunut, koska olet ostanut terveystuotteita tai -tarvikkeita yrityksestä, joka myöhemmin ilmoitti tietomurrosta, suhtaudu ilmoitukseen vakavasti, vaikka se ei erittelisi jokaista yksityiskohtaa. Terveyteen liittyvää tietoa, mukaan lukien vakuutustiedot ja sairaushistoria, voidaan käyttää kohdennettuun tietojenkalasteluun, vakuutuspetokseen tai identiteettivarkauksiin, joita on vaikeampi havaita kuin yksinkertaista varastettua luottokorttinumeroa.
Aloita käymällä huolellisesti läpi kaikki tietomurtoilmoituskirjeet ja tarkistamalla sairausvakuutustiliotteesi vieraiden korvausvaatimusten varalta. Harkitse petosvaroituksen tai luottokiellon asettamista suuriin luottotietotoimistoihin, jos taloudellisia tai vakuutustietoja oli mukana. Salasananhallintatyökalun, kuten Dashlane, käyttö voi auttaa sinua ylläpitämään yksilöllisiä, vahvoja salasanoja terveys- ja ostostileillä, mikä vähentää riskiä siitä, että yksi murrettu salasana avaa pääsyn muihin tileihin. Jos etsit säännöllisesti terveystiloja tai -tuotteita verkossa, VPN:n käyttö voi myös lisätä yksityisyyden suojaa vaikeuttamalla kolmansien osapuolten mahdollisuuksia yhdistää selaustoimintasi henkilöllisyyteesi.
Konkreettiset toimenpiteet
- Pidä silmällä virallisia tietomurtoilmoituskirjeitä ja lue ne huolellisesti, vaikka tiedot olisivat rajallisia.
- Seuraa vakuutustiliotteita ja sairaalalaskuja vieraiden tapahtumien varalta.
- Aseta luottokielto tai petosvaroitus, jos arkaluonteisia henkilötietoja on altistunut.
- Käytä salasananhallintatyökalua välttääksesi salasanojen uudelleenkäytön terveyteen liittyvillä tileillä.
- Harkitse VPN:n käyttöä tutkiessasi terveysaiheita tai ostaessasi lääkinnällisiä tuotteita verkossa.
Tämänkaltaiset tietomurrot korostavat yksinkertaista totuutta: terveystietosi ei tarvitse kulkea sairaalan kautta ollakseen arvokasta hyökkääjille. Kun yhä useammat terveystuotealan yritykset keräävät ja säilyttävät henkilötietoja, tietomurtoilmoituksiin suhtautuminen valppaasti ja perustason digitaalisesta hygieniasta huolehtiminen on edelleen yksi tehokkaimmista tavoista suojata itseään.
