Asahi Kasei Therapeuticsov proboj podataka jasan je primjer kako jedan web lokacija koju vodi dobavljač može izložiti cijeli profesionalni imenik. Prema izvješću Japan Cyber Watcha, napadači su provalili u Pharma DIGITAL, stranicu koju vodi dobavljač u ime Asahi Kasei Therapeuticsa za liječnike u Japanu. Izloženi podaci obuhvaćaju imena, radna mjesta i specijalnosti 514.000 ljudi.
Detalji dostupni do sada su ograničeni, a ovaj se tekst drži onoga što je izviješteno. Ipak, razmjeri i vrsta uključenih podataka dovoljni su da ovaj slučaj bude vrijedan razumijevanja, osobito za svakoga tko ima račun na profesionalnom ili farmaceutskom portalu.
Što je izloženo u proboju Pharma DIGITALa
Prema izvornom izvješću, pogođeni zapisi pripadaju 514.000 zdravstvenih djelatnika u Japanu. Izložene informacije uključuju tri kategorije:
- Imena
- Radna mjesta
- Medicinske specijalnosti
Izvješće ne spominje lozinke, financijske podatke ni pacijentove zapise u vezi s ovim incidentom, i nemamo osnove tvrditi da su bili uključeni. Ta je razlika važna. Ovo nije curenje medicinskih datoteka. Ovo je curenje podataka o tome tko su ljudi, gdje rade i čime se bave.
To može zvučati beznačajno u usporedbi s probojem podataka o plaćanju. U praksi, provjereni popis stručnjaka s njihovim poslodavcima i specijalnostima koristan je resurs svakome tko planira kontaktirati te ljude pod lažnim izgovorom.
Kako je portal koji vodi dobavljač postao slaba točka
Pharma DIGITAL nije izravno vodio Asahi Kasei Therapeutics. Bila je to stranica koju vodi dobavljač, a služila je korisnicima tvrtke, liječnicima. To je uobičajen aranžman: farmaceutske tvrtke često se oslanjaju na vanjske pružatelje usluga za hostanje informacijskih portala, registracijskih sustava i komunikacijskih alata za medicinske stručnjake.
Nedostatak je što podaci završe u sustavu koji tvrtka ne kontrolira u potpunosti iz dana u dan. Sigurnost ovisi o dobavljačevom zakrpanju, kontrolama pristupa i nadzoru, a posjetitelj ili registrirani korisnik nema jednostavan način vidjeti koliko se dobro s time postupa. Kada napadači uđu na takvu stranicu, brend na ulaznim vratima pripada jednoj organizaciji, dok odgovornost za propust leži na drugoj.
Za ljude s računima, praktična je lekcija da je ime tvrtke u koju vjerujete samo dio slike. Podatke koje predate može držati lanac dobavljača. Širi pritisak kibernetičkog kriminala na japanske organizacije također je vrijedan pažnje, a naše izvješće o osumnjičeniku za Qilin ransomware uhićenom u Japanu daje koristan kontekst, iako je taj slučaj zasebna stvar i nije izviješteno da je povezan s ovim probojem.
Zašto procurili profesionalni podaci omogućuju ciljani phishing
Generički phishing oslanja se na količinu i sreću. Ciljani phishing oslanja se na vjerodostojnost. Poruka koja se liječniku obraća imenom, spominje bolnicu ili kliniku u kojoj radi i poziva se na njegovu specijalnost izgleda mnogo legitimnije od masovnog e-maila o zaključanom računu.
S podacima koji su ovdje navodno izloženi, napadač bi mogao sastaviti poruke poput:
- Lažne obavijesti farmaceutske tvrtke o novom proizvodu relevantnom za određenu specijalnost
- Lažnog poziva na medicinski seminar ili webinar s poveznicom za prijavu
- Poruke koja se predstavlja kao bolnički administrator ili IT odjel
- Lažnog zahtjeva za provjeru podataka o računu na portalu koji primatelj već koristi
Ovo su primjeri kako se takvi podaci mogu zloupotrijebiti, a ne izvješća o napadima koji su se dogodili. Zdravstveni djelatnici također su zauzeti i navikli primati industrijske komunikacije, što olakšava djelovanje na uvjerljivu poruku bez drugog pogleda.
Što to znači za vas
Ako ste zdravstveni djelatnik u Japanu i koristili ste Pharma DIGITAL, pripazite na službene obavijesti Asahi Kasei Therapeuticsa ili dobavljača i slijedite njihove upute. Pretpostavite da vaše ime, radno mjesto i specijalnost mogu biti u optjecaju.
Ako ne radite u zdravstvu, lekcija se ipak primjenjuje. Svaki imenik, portal za newsletter ili registracijsku stranicu koju vodi treća strana može držati vaš profil koji je sam po sebi vrijedan. Ne morate izgubiti lozinku da bi proboj utjecao na vas.
Kako pogođeni stručnjaci mogu ograničiti svoju izloženost
Ne možete vratiti podatke koji su već izloženi, ali možete smanjiti šansu da se iskoriste protiv vas:
- Provjerite obavijesti o proboju. Pažljivo pročitajte svaki e-mail ili pismo tvrtke ili dobavljača i potvrdite ga putem službenog kanala, a ne putem poveznice unutar poruke.
- Budite skeptični prema porukama koje navode vaše radno mjesto ili specijalnost. Osobni podaci više nisu dokaz da je pošiljatelj stvaran.
- Ne koristite poveznice ni privitke iz neočekivanih poruka. Idite izravno na poznatu web stranicu ili pozovite broj kojemu već vjerujete.
- Koristite jedinstvene lozinke za svaki portal. Ako ponovno koristite lozinku s profesionalne stranice negdje drugdje, promijenite je i koristite upravitelj lozinkama.
- Uključite višefaktorsku autentifikaciju gdje god je ponuđena, osobito za e-mail i radne račune.
- Recite svom IT ili sigurnosnom timu o sumnjivim porukama kako bi kolege mogle biti upozorene.
Ključni zaključci
Asahi Kasei Therapeuticsov proboj podataka pokazuje da je izloženost tvrtke jaka onoliko koliko je jaka sigurnost njezinih dobavljača te da imena, radna mjesta i specijalnosti mogu biti dovoljni za uvjerljive prijevare. Pregledajte svaku obavijest koju primite, s oprezom postupajte s neočekivanim porukama koje spominju vaš posao i pojačajte osnovne mjere na računima koje imate na profesionalnim portalima. Za širi kontekst o kibernetičkom kriminalu usmjerenom na japanske organizacije, pročitajte naše izvješće o uhićenju zbog Qilin ransomwarea u Japanu.
