Az Unimed számlázási adatszivárgás betegek adatait tette közzé német egyetemi kórházaknál
Az Unimed nevű számlázási szolgáltató cégnél bekövetkezett egészségügyi harmadik féllel kapcsolatos adatszivárgás több német egyetemi kórház – köztük kölni, freiburgi és heidelbergi intézmények – tízezer számra tett közzé betegek személyes és orvosi adatait. Az eset szemléletes emlékeztetője annak, hogy a betegeknek szinte semmiféle közvetlen rálátásuk nincs arra, ki kezeli egészségügyi adataikat, miután azok elhagyják a kórház falait.
Miközben az európai kórházak a világ egyik legszigorúbb adatvédelmi szabályozása – köztük a GDPR – hatálya alatt működnek, az adatszivárgás rávilágít arra, hogy a szabályozási megfelelőség önmagában nem képes minden rést betömni. A háttérben csendesen érzékeny adatokat feldolgozó harmadik fél szállítók az egészségügyi adatvédelem egyik legtartósabb sebezhetőségei maradnak.
Hogyan tette közzé az Unimed számlázási platformja tízezer német beteg adatait
Az Unimed számlázási közvetítőként működik, és kórházi ügyfelei nevében számlákat, valamint fizetéssel kapcsolatos nyilvántartásokat dolgoz fel. A betegek ritkán kerülnek közvetlen kapcsolatba ezekkel a szolgáltatókkal, és a legtöbbnek fogalma sincs arról, hogy személyes adatait a kórházon kívüli rendszerben kezelik.
Ebben az esetben az adatszivárgás egyszerre több nagy egyetemi kórházi rendszernél bukkant fel – ez jellegzetes mintázat akkor, amikor egy megosztott szolgáltató jelenti a meghibásodás pontját. Egyetlen feltört szállító hatékonyan megsokszorozhatja az érintettség mértékét az összes általa kiszolgált intézménynél. Az a tény, hogy három különböző német városban is érintett kórházak vannak, jól mutatja, mennyire összekapcsolt – és ezért mennyire sérülékeny – ez az adatökoszisztéma.
A kiszivárgott adatok állítólag személyazonosító adatokat és bizonyos esetekben egészségüggyel kapcsolatos számlázási információkat tartalmaznak. Ez a kombináció különösen érzékeny, mert közvetlenül összeköti egy személy azonosságát az igénybe vett orvosi szolgáltatásokkal, olyan nyilvántartásokat hozva létre, amelyek az egyszerű pénzügyi csaláson jóval túlmutató célokra is felhasználhatók.
Miért jelentik a harmadik fél szállítók az egészségügy legnagyobb adatvédelmi kockázatát
A kórházak komoly összegeket fektetnek saját infrastruktúrájuk biztonságába, azonban biztonsági helyzetük csak annyira erős, amennyire a hálózatuk leggyengébb szállítója. A számlázási feldolgozók, laboratóriumi szolgáltatók, időpontfoglaló platformok és biztosítási elszámolóházak mind fogadnak vagy továbbítanak betegadatokat, gyakran kisebb szabályozási felügyelet mellett, mint maguk a kórházak.
Ez nem kizárólag német probléma. Ugyanez a strukturális sebezhetőség ismételten felbukkan az egészségügyi rendszerekben szerte a világon. Amikor egyetlen számlázási platform tucatnyi kórházat szolgál ki, egyetlen adatszivárgás olyan láncreakciószerű kitettségi eseményt idéz elő, amelyet az egyes intézmények saját megfelelőségi erőfeszítéseikkel nem tudnak megakadályozni.
A betegek számára aggasztó valóság az, hogy a kezeléshez való hozzájárulás lényegében magában foglalja az adatok megosztásához való hozzájárulást is, méghozzá olyan szolgáltatói hálózaton keresztül, amelyet soha nem látnak és amelyekbe egyenként nem egyeznek bele. A GDPR előírja, hogy az adatfeldolgozóknak szerződéses biztosítékokat kell alkalmazniuk, de ezek a szerződések nem teszik az adatokat technikailag sebezhetetlenné. Amikor egy szállítói szinten következik be adatszivárgás, a betegeket sokszor késve értesítik – néha hetekkel vagy hónapokkal az eredeti incidens után.
Milyen adatok szivárogtak ki, és ki van veszélynek kitéve
Az incidenst feldolgozó tudósítások szerint a kiszivárgott nyilvántartások személyes adatokat és egészségüggyel kapcsolatos számlázási információkat tartalmaznak. Bár a teljes kiterjedés még felmérés alatt áll, azok a betegek, akiknek számlázási adatait az érintett kórházaknál az Unimen keresztül dolgozták fel, potenciálisan érintettnek tekinthetik magukat.
Az ilyen típusú adatszivárgás kockázati profilja messze túlmutat a tipikus pénzügyi csaláson. Az egészségügyi számlázási adatokból kiderül, hogy egy beteg milyen orvosi szakterületeket látogatott, ami érzékeny, mentális egészséggel, reproduktív ellátással, függőségkezeléssel vagy krónikus betegséggel kapcsolatos állapotokat fedhet fel. Ezek az információk felhasználhatók social engineering támadásokhoz, biztosítási diszkriminációhoz vagy a beteg ismert egészségügyi körülményeihez igazított, célzott adathalász kampányokhoz.
A németországi betegeknek a GDPR alapján joguk van tájékoztatást kérni arról, milyen adatokat tároltak róluk, hogyan dolgozták fel azokat, és milyen intézkedéseket hoztak a válaszlépések során. Az érintett személyeknek közvetlenül kell kapcsolatba lépniük kórházuk adatvédelmi felelősével, és figyelemmel kell kísérniük a hivatalos adatszivárgási értesítő leveleket.
Hogyan védhetik meg az egyének egészségügyi adataikat az intézményi biztosítékokon túl
Miután az adatokat megosztották egy harmadik fél szállítóval, az egyének nem tudják visszaszerezni azokat. Vannak azonban gyakorlati lépések, amelyek csökkentik a folyamatos kitettséget és korlátozzák a jövőbeli kockázatokat.
Először is, éljen adathozzáférési jogaival. A GDPR alapján formálisan kérheti, hogy egy egészségügyi szolgáltató tájékoztassa arról, milyen személyes adatokat tárol Önről, és kivel osztotta meg azokat. Ez arra kényszeríti a kórházakat és szállítóikat, hogy elszámoljanak azzal, hová kerülnek az Ön adatai.
Másodszor, legyen óvatos az adatszivárgási értesítést követő hetekben esetlegesen érkező adathalász kísérletekkel kapcsolatban. A támadók gyakran felhasználják a frissen ellopott egészségügyi adatokat meggyőző, kórházakat, biztosítókat vagy számlázási osztályokat megszemélyesítő e-mailek összeállításához.
Harmadszor, fontolja meg, hogyan kezeli az online érzékeny, egészséggel kapcsolatos kutatásait és kommunikációját. Ha tüneteket keres fel, kezeléseket kutat, vagy egészségügyi fiókbejelentkezéseit titkosítatlan vagy figyelt hálózatokon kezeli, az újabb kitettségi réteget ad hozzá mindazokhoz az intézményi adatszivárgásokhoz, amelyek már bekövetkeztek. Egy adatvédelmi szempontból auditált VPN használata érzékeny orvosi böngészéshez segít biztosítani, hogy online egészségügyi tevékenysége ne legyen kitéve az internetkapcsolaton keresztül sem. A Mozilla VPN például átesett a Cure53 által végzett független biztonsági auditon, és nyílt forráskódú alapokon nyugszik, ami átlátható lehetőséggé teszi az ellenőrzött adatvédelmi eszközöket előnyben részesítő olvasók számára.
Végül, minimalizálja, amit megoszt. Ha egy űrlap opcionális egészségügyi adatokat kér, nincs kötelezettség azok megadására. Az adatok korlátozása a gyűjtés pillanatában az egyik kevés olyan kontroll, amellyel a betegek ténylegesen rendelkeznek.
Mit jelent ez az Ön számára
Az Unimed adatszivárgás nem egy elszigetelt hiba. Egy rendszerszintű mintázatot tükröz, amelyben a betegek mélyen személyes információkat bíznak a kórházakra, a kórházak harmadik fél szállítókkal kötnek szerződést azok feldolgozására, és ezek a szállítók kevesebb védelemmel rendelkező, nagy értékű célpontokká válnak. Az olyan szabályozási keretek, mint a GDPR, utólag teremtenek elszámoltathatóságot, de nem tudják megakadályozni az adatszivárgások bekövetkezését.
Ha betegként érintett volt valamelyik érintett német egyetemi kórháznál, vegye komolyan az értesítést, és érvényesítse GDPR-jogait. Tágabb összefüggésben ez az incidens hasznos ösztönzőként szolgálhat mindenki számára, hogy áttekintse saját egészségügyi adatlábnyomát: ki rendelkezik azzal, hol tárolják, és mit tehet a jövőbeli kitettség korlátozása érdekében.
Kezdje azzal, hogy biztosítja egészségügyi adatvédelmének azokat a részeit, amelyeket irányítani tud. Használjon erős, egyedi jelszavakat minden betegportálhoz, engedélyezze a kétfaktoros hitelesítést, ahol elérhető, és fontolja meg egy ellenőrzött VPN használatát érzékeny, egészséggel kapcsolatos böngészéshez. Az intézményi megfelelőség önmagában soha nem lesz elegendő.
