Az Asahi Kasei Therapeutics adatszivárgása világos példája annak, hogyan tehet sebezhetővé egyetlen, külső szállító által üzemeltetett weboldal egy teljes szakmai névjegyzéket. A Japan Cyber Watch beszámolója szerint a támadók behatoltak a Pharma DIGITAL oldalára, amelyet egy szállító üzemeltet az Asahi Kasei Therapeutics nevében a japán orvosok számára. A kiszivárgott adatok 514 000 ember nevét, munkahelyét és szakterületét tartalmazzák.
Az eddig elérhető részletek korlátozottak, és ez a bejegyzés ahhoz tartja magát, amiről beszámoltak. Még így is, az érintett adatok mértéke és típusa elegendő ahhoz, hogy az eset megértése indokolttá váljon, különösen azok számára, akik rendelkeznek fiókkal egy szakmai vagy gyógyszerészeti portálon.
Mi szivárgott ki a Pharma DIGITAL incidensben
A forrásbeszámoló szerint az érintett rekordok 514 000 japán egészségügyi szakemberhez tartoznak. A kiszivárgott információk három kategóriát ölelnek fel:
- Nevek
- Munkahelyek
- Orvosi szakterületek
A beszámoló nem említ jelszavakat, pénzügyi adatokat vagy betegadatokat ezzel az incidenssel kapcsolatban, és nincs alapunk azt állítani, hogy ezek érintettek lennének. Ez a különbségtétel fontos. Ez nem orvosi iratok kiszivárgása. Ez annak kiszivárgása, hogy kik az emberek, hol dolgoznak és mit tesznek.
Ez jelentéktelennek tűnhet a fizetési adatok szivárgásához képest. A gyakorlatban azonban a szakemberek ellenőrzött listája a munkáltatóikkal és szakterületeikkel együtt hasznos eszköz mindazok számára, akik hamis ürüggyel kívánják felvenni a kapcsolatot ezekkel az emberekkel.
Hogyan vált egy szállító által üzemeltetett portál a gyenge ponttá
A Pharma DIGITAL-t nem közvetlenül az Asahi Kasei Therapeutics üzemeltette. Egy szállító által üzemeltetett oldal volt, amely a vállalat orvosokból álló közönségét szolgálta. Ez gyakori felállás: a gyógyszerészeti cégek gyakran külső szolgáltatókra támaszkodnak információs portálok, regisztrációs rendszerek és kommunikációs eszközök üzemeltetésében az egészségügyi szakemberek számára.
A kompromisszum az, hogy az adatok olyan rendszerbe kerülnek, amelyet a vállalat nem ellenőriz teljes mértékben a mindennapi működés során. A biztonság a szállító javítási folyamataitól, hozzáférés-ellenőrzéseitől és megfigyelésétől függ, és a látogatónak vagy regisztrálónak nincs egyszerű módja annak megítélésére, hogy ezeket mennyire jól kezelik. Amikor a támadók bejutnak egy ilyen oldalra, a bejárati ajtón lévő márkanév az egyik szervezeté, míg a mulasztás egy másiké.
A fiókkal rendelkezők számára a gyakorlati tanulság az, hogy a megbízott vállalat neve csak a kép egy része. Az általad átadott adatokat szállítók láncolata tarthatja. A japán szervezetekre nehezedő szélesebb kiberbűnözési nyomást is érdemes szem előtt tartani, és a Japánban letartóztatott Qilin zsarolóvírus-gyanúsítottról szóló tudósításunk hasznos kontextust nyújt, bár az az eset külön ügy, és nem jelentették, hogy kapcsolódna ehhez az adatszivárgáshoz.
Miért teszik lehetővé a kiszivárgott szakmai adatok a célzott adathalászatot
Az általános adathalászat a mennyiségre és a szerencsére támaszkodik. A célzott adathalászat a hitelességre támaszkodik. Egy üzenet, amely néven szólítja az orvost, megemlíti azt a kórházat vagy klinikát, ahol dolgozik, és utal a szakterületére, sokkal hitelesebbnek tűnik, mint egy zárolt fiókról szóló tömeges e-mail.
Az itt állítólagosan kiszivárgott adatokkal egy támadó olyan üzeneteket készíthet, mint például:
- Egy gyógyszerészeti cég hamis értesítése egy adott szakterület szempontjából releváns új termékről
- Hamis meghívó egy orvosi szemináriumra vagy webinárra bejelentkezési hivatkozással
- Egy kórházi adminisztrátort vagy IT-osztályt megszemélyesítő üzenet
- Hamis kérés a fiókadatok ellenőrzésére egy olyan portálon, amelyet a címzett már használ
Ezek példák arra, hogyan lehet az ilyen adatokat visszaélésszerűen felhasználni, nem pedig megtörtént támadásokról szóló beszámolók. Az egészségügyi dolgozók ráadásul elfoglaltak, és hozzászoktak az iparági kommunikáció fogadásához, ami megkönnyíti, hogy egy hihető üzenetre második pillantás nélkül cselekedjenek.
Mit jelent ez a számodra
Ha japán egészségügyi szakember vagy, és használtad a Pharma DIGITAL-t, figyeld az Asahi Kasei Therapeutics vagy a szállító hivatalos értesítéseit, és kövesd azok utasításait. Feltételezd, hogy a neved, a munkahelyed és a szakterületed forgalomban lehet.
Ha nem az egészségügyben dolgozol, a tanulság akkor is érvényes. Bármely harmadik fél által üzemeltetett névjegyzék, hírlevélportál vagy regisztrációs oldal tárolhat rólad egy profilt, amely önmagában is értékes. Nem kell elveszítened egy jelszót ahhoz, hogy egy adatszivárgás érintsen.
Hogyan korlátozhatják az érintett szakemberek a kitettségüket
A már kiszivárgott adatokat nem tudod visszaszerezni, de csökkentheted annak esélyét, hogy ellened használják fel őket:
- Ellenőrizd az adatszivárgási értesítéseket. Olvasd el figyelmesen a vállalattól vagy a szállítótól kapott e-mailt vagy levelet, és erősítsd meg egy hivatalos csatornán keresztül, nem pedig az üzenetben lévő hivatkozáson.
- Légy szkeptikus az olyan üzenetekkel szemben, amelyek a munkahelyedre vagy a szakterületedre hivatkoznak. A személyes adatok már nem bizonyítékai annak, hogy a feladó valódi.
- Ne használd a váratlan üzenetekben lévő hivatkozásokat vagy mellékleteket. Menj közvetlenül az ismert weboldalra, vagy hívd a már megbízhatónak tartott számot.
- Használj egyedi jelszavakat minden portálhoz. Ha egy szakmai oldalon használt jelszót máshol is újrahasználsz, változtasd meg, és használj jelszókezelőt.
- Kapcsold be a többtényezős hitelesítést, ahol csak kínálják, különösen az e-mail- és munkafiókok esetében.
- Tájékoztasd az IT- vagy biztonsági csapatodat a gyanús üzenetekről, hogy a kollégákat is figyelmeztetni lehessen.
Kulcsfontosságú tanulságok
Az Asahi Kasei Therapeutics adatszivárgása megmutatja, hogy egy vállalat kitettsége csak olyan erős, mint a szállítói biztonsága, és hogy a nevek, munkahelyek és szakterületek elegendőek lehetnek meggyőző csalások megalapozásához. Vizsgáld át a kapott értesítéseket, kezeld óvatosan a munkahelyedre utaló váratlan üzeneteket, és szigorítsd az alapokat a szakmai portálokon tartott fiókjaidnál. A japán szervezetek elleni kiberbűnözés szélesebb kontextusához olvasd el a Qilin zsarolóvírus letartóztatásáról Japánban szóló tudósításunkat.
