Što se dogodilo u hakiranju tima za skrb u Kowloon Cityju

Tim za skrb na okružnoj razini koji djeluje pri lokalnoj upravi u Kowloon Cityju u Hong Kongu kompromitiran je u hakerskom napadu koji je otkrio osobne podatke 23 korisnika usluga. Iako se broj pogođenih osoba može činiti malen u usporedbi s velikim probojima podataka koji dominiraju naslovima, ovaj incident nosi značajne implikacije za način na koji lokalne javne agencije rukuju osjetljivim podacima stanovnika.

Timovi za skrb u Kowloon Cityju dio su infrastrukture socijalne skrbi na okružnoj razini u Hong Kongu, obično služeći starijim stanovnicima, osobama s invaliditetom i onima kojima je potrebna podrška u zajednici. Pojedinci koji koriste te usluge često dijele detaljne osobne podatke, uključujući zdravstveno stanje, kućne adrese i obiteljske okolnosti. Takvi podaci u pogrešnim rukama mogu omogućiti ciljane prijevare, socijalni inženjering ili uznemiravanje.

U vrijeme izvještavanja, nadležne vlasti nisu javno detaljno navele koji su točno podaci pristupljeni, koji su sustavi kompromitirani niti kako je do proboja došlo. Obavijesti pogođenim stanovnicima bile su u tijeku, a istraga je pokrenuta. Takav nedostatak transparentnosti i sam je uobičajeni obrazac kod proboja podataka u zdravstvenim podacima lokalne samouprave, gdje su protokoli odgovora na incidente često manje razvijeni od onih u većim institucijama.

Zašto su zdravstvene službe lokalne samouprave posebno ranjive

Zdravstvene i socijalne službe na okružnoj razini djeluju u vrlo različitim uvjetima od nacionalnih zdravstvenih sustava ili privatnih bolnica. Proračuni su ograničeni, informatičko osoblje je malobrojno, a ulaganja u kibernetičku sigurnost rijetko se prioritiziraju u odnosu na neposredne zahtjeve pružanja usluga iz prve linije.

To stvara strukturni problem. Iste službe koje prikupljaju neke od najosjetljivijih osobnih podataka – povijesti bolesti, kućne adrese, status socijalne skrbi – često rade na zastarjelom softveru i nemaju namjensko sigurnosno osoblje. Relativno jednostavna tehnika upada može biti dovoljna za dobivanje pristupa sustavima koji nikada nisu bili ojačani protiv napada.

To nije jedinstveno za Hong Kong. Curenje podataka iz tvrtke koja radi kao ugovorni partner CISA-i, koje je otkrilo AWS vjerodajnice i lozinke na javnom GitHub repozitoriju pokazalo je kako čak i agencije sa sigurnosnim mandatom mogu pretrpjeti osnovne operativne propuste. Kada je organizacija u pitanju mali ured za skrb na okružnoj razini, a ne savezno tijelo za kibernetičku sigurnost, jaz između rizika i spremnosti postaje još veći.

Male jedinice javnog sektora također se često oslanjaju na dobavljače softvera trećih strana ili dijeljene državne IT platforme, što uvodi rizik opskrbnog lanca. Ranjivost u dijeljenoj platformi može ugroziti više agencija odjednom, povećavajući utjecaj jedne točke kvara.

Koji su podaci otkriveni i tko je u opasnosti

Dvadeset i troje pogođenih pojedinaca su korisnici usluga tima za skrb u zajednici, što znači da su vjerojatno bili među ranjivijim članovima zajednice. Starije osobe i osobe koje primaju potporu iz socijalne skrbi obično su pod većim rizikom od daljnjih šteta kada su njihovi osobni podaci otkriveni, uključujući ciljane prijevare i krađu identiteta.

Čak i mali skup podataka može biti vrijedan zlonamjernim akterima. Popis od 23 pojedinca s imenima, adresama, zdravstvenim stanjima i kontaktima pruža dovoljno materijala za izradu uvjerljivih phishing poruka ili shema lažnog predstavljanja. Za razliku od proboja koji uključuje milijune anonimiziranih zapisa, mali, ciljani skup podataka ranjivih pojedinaca može se vrlo precizno iskoristiti.

Situacija odražava šire trendove u sigurnosti zdravstvenih podataka. Istraživanja dosljedno pokazuju da su hakerski napadi i IT incidenti vodeći uzrok proboja podataka u zdravstvu na globalnoj razini, nadmašujući čak i unutarnje prijetnje ili izgubljene uređaje. Slučaj u Kowloon Cityju uklapa se u ovaj obrazac, a istovremeno ističe podskup problema koji dobiva manje pozornosti: malen, lokalizirani incident koji pogađa marginalizirane ili ranjive populacije.

Usporedbe s značajnijim slučajevima poučne su. Tužba Kalifornije protiv tvrtke 23andMe zbog proboja genetskih podataka 7 milijuna korisnika pokazala je da čak i kada je samo dio baze podataka izravno pristupljen, pravne i osobne posljedice mogu biti ozbiljne. Razmjer nije jedino mjerilo štete.

Kako zaštititi svoje osobne podatke prilikom poslovanja s javnim službama

Većina ljudi ima ograničenu kontrolu nad time koje podatke vladine agencije prikupljaju. Prijava za socijalne usluge, zdravstvenu skrb ili programe u zajednici obično zahtijeva dijeljenje osobnih podataka. Međutim, postoje koraci koje stanovnici mogu poduzeti kako bi smanjili svoju izloženost i učinkovito reagirali ako dođe do proboja.

Prvo, pružite samo minimalno potrebne podatke. Mnogi obrasci traže više nego što je strogo nužno. Ako je polje opcionalno, razmislite o tome da ga ostavite praznim. Smanjenje količine podataka koju dijelite smanjuje ono što može biti otkriveno.

Drugo, vodite evidenciju o tome gdje ste podijelili osobne podatke. Ako stigne obavijest o proboju, morate znati koji su podaci bili pohranjeni kako biste točno procijenili svoj rizik. Jednostavan zapis o tome koje agencije posjeduju koje podatke može učiniti značajnu razliku u vašem odgovoru.

Treće, pratite znakove krađe identiteta ili socijalnog inženjeringa nakon svake obavijesti o proboju. To uključuje obraćanje pozornosti na neočekivane pozive ili poruke koje spominju osobne detalje koje niste naširoko dijelili, neuobičajenu aktivnost na financijskim računima ili nepoznate upite za kredit.

Četvrto, zalažite se za bolje standarde. Kibernetička sigurnost u javnom sektoru često se poboljšava samo kada stanovnici i nadzorna tijela to zahtijevaju. Postavljanje pitanja lokalnim predstavnicima o politikama zaštite podataka i planovima odgovora na proboje legitiman je i koristan oblik građanskog angažmana.

Provala u tim za skrb u Kowloon Cityju podsjetnik je da proboji podataka u zdravstvenim podacima lokalne samouprave ne moraju pogađati milijune ljudi da bi bili važni. Dvadeset troje pojedinaca, vjerojatno među najranjivijima u svojoj zajednici, sada se suočava s neizvješću o tome kako se njihovi osobni podaci koriste. Ovaj ishod zaslužuje istu razinu nadzora koju primjenjujemo na najveće korporativne proboje i istu hitnost u odgovoru.