Proboj u Hartford HUSKY Medicaid portalu otkriva rizik krađe vjerodajnica za zdravstvene portale
Proboj podataka u vezi s Hartford HealthCareovim HUSKY Medicaid portalom skrenuo je novu pozornost na ranjivost koja pogađa milijune pacijenata koji svojim zdravstvenim podacima pristupaju online: krađu vjerodajnica za zdravstvene portale. Ovaj incident naglašava kako javno dostupni vladini i bolnički portali nose specifičan niz rizika koji se razlikuju od uobičajenih korporativnih proboja, osobito za korisnike Medicaida koji osjetljivim podacima o zahtjevima i zdravlju možda pristupaju s dijeljenih ili nezaštićenih uređaja.
Što se dogodilo u proboju Hartford HUSKY Medicaid portala
Program HUSKY je Connecticutov program Medicaid i osiguranja za djecu (Children's Health Insurance Program), a Hartford HealthCare jedan je od glavnih pružatelja usluga unutar te mreže. Proboj je bio usmjeren na portal namijenjen pacijentima koji članovi HUSKY-ja koriste za pregled zahtjeva, naknada i osobnih zdravstvenih kartona. Prema izvještajima o incidentu, kompromitacija je uključivala neovlašteni pristup putem upada temeljenog na vjerodajnicama, metode u kojoj napadači koriste ukradene ili otkrivene podatke za prijavu kako bi ušli u portal kao da su legitimni korisnici.
Ono što ovaj proboj čini značajnim jest vrsta podataka koja je ugrožena. Medicaid portali obično pohranjuju kombinaciju osobnih identifikacijskih podataka, povijesti zahtjeva za osiguranje, šifri dijagnoza i podataka o pružateljima usluga. Ta je kombinacija iznimno vrijedna kradljivcima identiteta i prevarantima jer na jednom mjestu povezuje financijske i medicinske podatke. Za razliku od proboja podataka o platnim karticama, kompromitirane Medicaid vjerodajnice ne mogu se jednostavno poništiti i ponovno izdati.
Incident također otvara pitanja o platformama dobavljača i dijeljenim točkama pristupa. Kada se više sustava ili organizacija povezuje na istu infrastrukturu portala, slabost u jednom području može se preliti u širu izloženost unutar mreže.
Kako krađa vjerodajnica cilja korisnike zdravstvenih portala
Krađa vjerodajnica u zdravstvu funkcionira drugačije nego u drugim sektorima. Napadači rijetko trebaju izravno probiti unutarnje sustave bolnice. Umjesto toga, ciljaju vanjski rub: stranice za prijavu koje pacijenti i osoblje svakodnevno koriste. Phishing poruke koje se lažno predstavljaju kao administratori zdravstvenih planova, lažne stranice za prijavu na portal i infostealer zlonamjerni softver instaliran na osobnim uređajima spadaju među najčešće metode.
Kada napadač dobije valjane vjerodajnice, često ostane neotkriven tjednima ili mjesecima jer njegova aktivnost izgleda kao uobičajeno ponašanje korisnika. Nema upozorenja o neuspjelim prijavama, ne aktiviraju se perimetarski alarmi. Zbog toga zdravstvene organizacije sve češće opisuju kompromitaciju vjerodajnica kao svoju najtežu prijetnju za rano otkrivanje.
Problem pogoršava ponovno korištenje lozinki. Mnogi pacijenti koriste istu kombinaciju e-pošte i lozinke na više usluga. Curenje vjerodajnica od trgovca ili s platforme društvenih medija može učinkovito otključati Medicaid portal ako je korisnik reciklirao svoje podatke za prijavu. Credential stuffing, gdje napadači automatski provjeravaju procurjele parove korisničkih imena i lozinki na zdravstvenim portalima, sada je rutinska metoda napada koja zahtijeva minimalnu vještinu.
Ovaj obrazac širenja površine napada putem udaljenih krajnjih točaka i onih usmjerenih pacijentima dobro je dokumentiran. Kao što istraživanje o ranjivostima povezanim s ransomwareom i udaljenim krajnjim točkama pokazuje, sigurnosni čelnici u svim sektorima sve su svjesniji da je krajnja točka, a ne podatkovni centar, mjesto gdje mnogi proboji započinju.
Zašto javne i dijeljene mreže povećavaju rizik za Medicaid portale
Medicaid služi populaciji koja se često oslanja na dijeljene uređaje i javne internetske veze. Računala u knjižnicama, mreže u društvenim centrima, dijeljeni pametni telefoni i besplatni javni Wi-Fi u klinikama ili čekaonicama uobičajene su točke pristupa za pacijente koji upravljaju svojim naknadama. Ova okruženja nose značajne sigurnosne rizike koje većina korisnika nema načina procijeniti u stvarnom vremenu.
Na nešifriranoj javnoj mreži vjerodajnice za prijavu poslane zdravstvenom portalu mogu se presresti tehnikama poput napada čovjeka u sredini (man-in-the-middle), gdje se napadač pozicionira između korisnikovog uređaja i mreže kako bi uhvatio podatke u prijenosu. Čak i na mrežama koje se čine privatnima, kolačići sesije i tokeni mogu se izvući iz preglednika nakon prijave, omogućujući napadaču da se lažno predstavi kao korisnik bez potrebe za samom lozinkom.
Dijeljeni uređaji uvode zasebnu kategoriju rizika. Lozinke spremljene u pregledniku, keširane sesije i podaci za automatsko popunjavanje pohranjeni na javnom računalu ili telefonu člana obitelji dostupni su sljedećim korisnicima ili zlonamjernom softveru koji već radi na tom uređaju.
Upravo je to scenarij u kojem šifriranje vaše veze postaje konkretna, provediva obrana. VPN usmjerava vaš internetski promet kroz šifrirani tunel, prikrivajući vaše vjerodajnice za prijavu i podatke sesije od bilo koga tko nadzire mrežu između vašeg uređaja i portala. Za pacijente koji pristupaju Medicaid portalima iz nesigurnih mrežnih okruženja, ovaj jedan korak značajno smanjuje rizik da će vjerodajnice biti presretnute u prijenosu.
Praktični koraci koje pacijenti mogu poduzeti za zaštitu pristupa zdravstvenim računima
Proboj Hartford HUSKY-ja poticaj je da preispitate kako se povezujete s bilo kojim zdravstvenim portalom, bilo da se radi o Medicaid sustavu, bolničkom portalu za pacijente ili stranici člana osiguranja. Evo konkretnih radnji koje vrijedi poduzeti:
Koristite VPN na javnim ili dijeljenim mrežama. Prije prijave na bilo koji portal povezan sa zdravljem na mreži koju u potpunosti ne kontrolirate, aktivirajte VPN. To se odnosi na Wi-Fi u kafićima, veze u knjižnicama, hotelske mreže i bilo koju mrežu gdje drugi dijele pristup.
Koristite jedinstvene lozinke za svaki zdravstveni portal. Upravitelji lozinki ovo čine praktičnim. Curenje vjerodajnica s jedne usluge ne bi smjelo napadačima dati pristup vašim zdravstvenim kartonima.
Omogućite višefaktorsku autentifikaciju gdje god je ponuđena. Čak i ako je vaša lozinka kompromitirana, drugi faktor poput koda poslanog na vaš telefon ili e-poštu dodaje značajnu prepreku neovlaštenom pristupu.
Izbjegavajte pristupanje osjetljivim portalima s dijeljenih uređaja. Ako morate koristiti računalo u knjižnici ili javno računalo, potpuno se odjavite, očistite sesiju preglednika i nemojte spremati lozinke kada se to od vas zatraži.
Pratite svoje obavijesti o objašnjenju naknada (Explanation of Benefits - EOB). Probiji Medicaid portala često dovode do lažnih zahtjeva podnesenih na ime pacijenta. Redoviti pregled povijesti zahtjeva može rano otkriti neovlaštenu aktivnost.
Odmah prijavite sumnjivu aktivnost. Ako primite neočekivanu korespondenciju o zahtjevima koje niste podnijeli ili ako vaš portal pokazuje aktivnost prijave s neprepoznatih lokacija, bez odgađanja kontaktirajte administratora svog Medicaid programa i tim za podršku portala.
Što ovo znači za vas
Proboj Hartford HUSKY-ja nije izolirani incident. Medicaid portali, bolnički portali za pacijente i platforme članova osiguranja dio su rastuće kategorije javno dostupnih zdravstvenih ulaznih točaka koje napadači neprestano ispituju. Model krađe vjerodajnica ne zahtijeva sofisticirano hakiranje. Oslanja se na jaz između toga koliko pažljivo zdravstvene organizacije osiguravaju svoje unutarnje sustave i koliko se nemarno tim istim sustavima može pristupiti izvana.
Pacijenti nisu nemoćni u ovoj jednadžbi. Razumijevanje da je vaša mrežna veza dio vašeg sigurnosnog položaja, a ne samo stranica za prijavu na portal, mijenja koje su vam zaštitne mjere dostupne. Rizik je stvaran i raste, što potvrđuju dokumentirani trendovi napada na udaljene krajnje točke koji potiču kompromitaciju vjerodajnica u svim industrijama. Odvojite nekoliko minuta danas da pregledate kako i gdje pristupate svojim zdravstvenim računima i učinite šifrirane veze standardnom navikom, a ne naknadnom mišlju.
