A gyógyszeripari óriás Amgen megerősítette, hogy adatvédelmi incidens történt, melynek során betegek védett egészségügyi adatai és vállalati szellemi tulajdon is kiszivárogtak, ami újra felveti az Amgen adatvédelmi incidenssel kapcsolatos betegjogi aggályokat. A vállalat közölte, hogy az eset felhőalapú tárolórendszerekből indult, és már értesíti is az érintetteket, bár több fontos részlet – például, hogy bevetettek-e zsarolóvírust, vagy érkezett-e váltságdíjkövetelés – egyelőre nem erősítették meg.

Mi történt az Amgen adatvédelmi incidens során

Az elérhető részletek szerint a támadók az Amgen működéséhez kapcsolódó felhőalapú tárolórendszerekhez fértek hozzá, és érzékeny adatok keverékét tulajdonították el: betegek védett egészségügyi adatait (PHI) és a cég saját bizalmas információit. Az Amgen megkezdte az érintettek értesítését – ez a lépés az egészségügyi adatok védelmére vonatkozó szabályok szerint kötelező, amint egy vállalat megerősíti, hogy személyes egészségügyi adatok sérültek.

Ami még nem világos, és amit a nyomozók még vizsgálnak, hogy a támadók használtak-e zsarolóvírust a behatolás során, és hogy az Amgen kapott-e váltságdíj-követelést vagy zsarolási kísérletet az ellopott adatokkal kapcsolatban. Ezek alapvető, nyitott kérdések. Egy egyszerű adatlopás és egy zsarolóvírus-vezérelt zsarolási kampány eltérő kockázatokat hordoz mind a vállalat, mind az érintett betegek számára, különösen azt illetően, hogy az ellopott adatokat nyilvánosságra hozzák, eladják, vagy fizetség fejében visszatartsák-e.

Miért jelentenek nagyobb kockázatot a betegek számára az egészségügyi adatvédelmi incidensek

Az egészségügyi szektorban történt incidensek következményei általában túlmutatnak egy hétköznapi vállalati adatszivárgáson. A pénzügyi számlaszámokat néhány nap alatt lehet tiltani és újra kiadni. Az orvosi nyilvántartások, diagnózisok, recepttörténetek és más védett egészségügyi adatok viszont nem nullázhatóak. Ha egyszer ez az információ kiszivárog, kint is marad, és éveken át felhasználható a betegek ellen olyan módszerekkel, amelyeket sokkal nehezebb felderíteni, mint egy csalárd bankkártya-tranzakciót.

Éppen ez teszi olyan vonzó célponttá az egészségügyi szervezeteket. A védett egészségügyi adatok gyakran elegendő információt tartalmaznak (nevek, születési dátumok, biztosítási adatok, kórtörténetek) ahhoz, hogy lehetővé tegyék a személyazonosság-lopást, biztosítási csalást és olyan célzott adathalász támadásokat, amelyek a páciens valós egészségügyi állapotára hivatkozva hitelesnek tűnnek. Ha mindehhez hozzávesszük a vállalati szellemi tulajdont, amely kutatásokat, klinikai vizsgálati adatokat vagy belső üzleti nyilvántartásokat is magában foglalhat, egyetlen incidens egyszerre több fronton is kockázatot teremt: egyrészt a betegek magánéletét, másrészt a vállalati és kutatási integritást fenyegeti.

Az egészségügyi szektor pontosan e kettős érték miatt, és mert sok szolgáltató és beszállító bonyolult, egymással összekapcsolt felhőrendszerekre támaszkodik, amelyek növelik a potenciális támadási felületet, egyre gyakoribb célponttá vált. Ahogy a szervezetek egyre inkább integrálják az automatizált eszközöket és a mesterséges intelligencia vezérelte rendszereket az infrastruktúrájukba, a támadók bebizonyították, hogy ugyanolyan könnyen kihasználják ezeket az újabb technológiák gyengeségeit, mint a régebbieket. Egy nemrégiben történt eset, amelyet részletesen bemutattunk, amikor egy AI-ügynök nulladik napi hibát kihasználva feltörte a Hugging Face-t, jól szemlélteti, milyen gyorsan át tudnak állni a támadók éppen azoknak az automatizálási és felhőeszközöknek a kihasználására, amelyektől a szervezetek függenek.

Hogyan illeszkednek a VPN-ek és a titkosítás az egészségügyi adatbiztonságba

Bár egyetlen eszköz sem előz meg önmagában egy szervezeti szintű incidenst, a titkosítás és a biztonságos kapcsolatok továbbra is alapvető fontosságúak ahhoz, hogy korlátozzák a kárt, ha rendszereket feltörnek. A mind nyugalmi, mind átviteli állapotukban titkosított adatok sokkal kevésbé hasznosak a támadók számára akkor is, ha sikerül megszerezniük azokat. Az egészségügyi szervezetek számára ez azt jelenti, hogy titkosítani kell a felhőrendszerekben tárolt védett egészségügyi adatokat, és biztosítani kell, hogy a belső rendszerek, szállítók és felhőszolgáltatók között mozgó adatok titkosított, hitelesített csatornákon közlekedjenek.

Azon egyéni betegek és alkalmazottak számára, akik távolról érik el az egészségügyi portálokat vagy vállalati rendszereket, a VPN-ek és a titkosított kapcsolatok további védelmi réteget jelentenek a nem biztonságos hálózatokon történő lehallgatás ellen, különösen akkor, ha érzékeny egészségügyi portálokat nyilvános Wi-Fi-ről vagy személyes eszközökről keresnek fel. Ezek nem helyettesítik a szervezet saját biztonsági gyakorlatait, de csökkentik annak kockázatát, hogy az adatokat átvitel közben elfogják – ez egy darabkája egy sokkal nagyobb biztonsági kirakósnak, amely magában foglalja a hozzáférés-szabályozást, a megfigyelést és az incidensre adott válaszok tervezését is.

Mit jelent ez Önnek

Ha kapott, vagy a jövőben kaphat egy adatvédelmi incidensről szóló értesítést az Amgentől, vegye azt komolyan, még mielőtt az eset összes részlete megerősítést nyerne. Kezdje azzal, hogy figyelmesen átolvassa az értesítő levelet, hogy megtudja, pontosan milyen adatokról van szó. Kísérje figyelemmel a biztosítási kivonatait és az ellátás-magyarázó dokumentumokat, nem szerepelnek-e rajtuk ismeretlen igénylések – ez az orvosi személyazonosság-lopás gyakori jele. Fontolja meg csalási riasztás vagy hitelzárolás elhelyezését a nagyobb hitelinformációs ügynökségeknél, mert az ellopott egészségügyi adatokhoz gyakran elegendő személyes adat társul ahhoz, hogy csalárd számlákat nyissanak. Legyen óvatos minden olyan utólagos kommunikációval, amely azt állítja, hogy az Amgentől vagy partnereitől származik, különösen, ha hivatkozásokra való kattintást vagy további személyes adatok megadását kérik – az ilyen incidenst bejelentő értesítéseket gyakran használják ki csalók másodlagos adathalász kampányokhoz.

Az Amgen adatvédelmi incidenst teljes körű felmérése, beleértve azt is, hogy a zsarolóvírus játszott-e szerepet, vagy történt-e zsarolási kísérlet, időbe telhet. Addig is az incidens által érintett betegek gyakorlati lépéseket tehetnek kockázatuk csökkentésére: figyeljék számláikat, fagyasszák be a hitelüket ahol szükséges, és legyenek éberek a gyanús kommunikációval szemben. Az egészségügyi szervezetek továbbra is nagy értékű célpontok maradnak a támadók számára, ám a tájékozott, proaktív betegek sokkal jobb helyzetben vannak ahhoz, hogy észrevegyék és korlátozzák a hasonló incidensek következményeit.