Pelanggaran data Asahi Kasei Therapeutics adalah contoh jelas bagaimana satu situs web yang dijalankan vendor dapat mengekspos seluruh direktori profesional. Menurut laporan dari Japan Cyber Watch, penyerang membobol Pharma DIGITAL, situs yang dijalankan oleh vendor atas nama Asahi Kasei Therapeutics untuk dokter di Jepang. Data yang terekspos mencakup nama, tempat kerja, dan spesialisasi 514.000 orang.
Detail yang tersedia sejauh ini masih terbatas, dan artikel ini hanya membahas apa yang telah dilaporkan. Meski demikian, skala dan jenis data yang terlibat sudah cukup untuk membuat kasus ini layak dipahami, terutama bagi siapa pun yang memiliki akun di portal profesional atau farmasi.
Apa yang terekspos dalam pelanggaran Pharma DIGITAL
Menurut laporan sumber, catatan yang terdampak milik 514.000 tenaga kesehatan di Jepang. Informasi yang terekspos mencakup tiga kategori:
- Nama
- Tempat kerja
- Spesialisasi medis
Laporan tersebut tidak menyebutkan kata sandi, detail keuangan, atau rekam medis pasien terkait insiden ini, dan kami tidak memiliki dasar untuk menyatakan bahwa hal-hal itu terlibat. Perbedaan ini penting. Ini bukan kebocoran berkas medis. Ini adalah kebocoran tentang siapa orangnya, di mana mereka bekerja, dan apa yang mereka lakukan.
Itu mungkin terdengar sepele dibandingkan dengan pelanggaran data pembayaran. Dalam praktiknya, daftar terverifikasi para profesional beserta pemberi kerja dan spesialisasi mereka adalah aset yang berguna bagi siapa pun yang berencana menghubungi orang-orang tersebut dengan dalih palsu.
Bagaimana portal yang dijalankan vendor menjadi titik lemah
Pharma DIGITAL tidak dioperasikan langsung oleh Asahi Kasei Therapeutics. Itu adalah situs yang dijalankan vendor yang melayani audiens dokter perusahaan tersebut. Ini adalah pengaturan yang umum: perusahaan farmasi sering mengandalkan penyedia eksternal untuk menghosting portal informasi, sistem pendaftaran, dan alat komunikasi bagi para profesional medis.
Komprominya adalah data akhirnya berada dalam sistem yang tidak sepenuhnya dikendalikan perusahaan sehari-hari. Keamanan bergantung pada penambalan, kontrol akses, dan pemantauan vendor, dan pengunjung atau pendaftar tidak memiliki cara mudah untuk melihat seberapa baik hal-hal itu ditangani. Ketika penyerang masuk ke situs semacam itu, merek di pintu depan milik satu organisasi sementara kegagalannya ada pada organisasi lain.
Bagi orang-orang yang memiliki akun, pelajaran praktisnya adalah bahwa nama perusahaan yang Anda percayai hanyalah sebagian dari gambaran. Data yang Anda serahkan mungkin dipegang oleh rantai pemasok. Tekanan kejahatan siber yang lebih luas terhadap organisasi Jepang juga perlu diingat, dan liputan kami tentang tersangka ransomware Qilin yang ditangkap di Jepang memberikan konteks yang berguna, meskipun kasus itu merupakan hal yang terpisah dan tidak dilaporkan terkait dengan pelanggaran ini.
Mengapa detail profesional yang bocor memungkinkan phishing bertarget
Phishing generik mengandalkan volume dan keberuntungan. Phishing bertarget mengandalkan kredibilitas. Pesan yang menyapa seorang dokter dengan namanya, menyebut rumah sakit atau klinik tempat mereka bekerja, dan merujuk pada spesialisasi mereka tampak jauh lebih sah daripada email massal tentang akun yang terkunci.
Dengan data yang dilaporkan terekspos di sini, penyerang dapat membuat pesan seperti:
- Pemberitahuan palsu dari perusahaan farmasi tentang produk baru yang relevan dengan spesialisasi tertentu
- Undangan palsu ke seminar atau webinar medis dengan tautan login
- Pesan yang menyamar sebagai administrator rumah sakit atau departemen TI
- Permintaan palsu untuk memverifikasi detail akun di portal yang sudah digunakan penerima
Ini adalah contoh bagaimana data semacam itu dapat disalahgunakan, bukan laporan serangan yang telah terjadi. Tenaga kesehatan juga sibuk dan terbiasa menerima komunikasi industri, yang membuat pesan yang masuk akal lebih mudah ditindaklanjuti tanpa melihat dua kali.
Apa Artinya Bagi Anda
Jika Anda seorang profesional kesehatan di Jepang dan pernah menggunakan Pharma DIGITAL, waspadai pemberitahuan resmi dari Asahi Kasei Therapeutics atau vendor dan ikuti instruksi mereka. Anggap bahwa nama, tempat kerja, dan spesialisasi Anda mungkin sudah beredar.
Jika Anda tidak bekerja di bidang kesehatan, pelajarannya tetap berlaku. Direktori, portal buletin, atau situs pendaftaran apa pun yang dijalankan pihak ketiga dapat menyimpan profil Anda yang berharga dengan sendirinya. Anda tidak perlu kehilangan kata sandi agar suatu pelanggaran berdampak pada Anda.
Bagaimana profesional yang terdampak dapat membatasi paparan mereka
Anda tidak dapat menarik kembali data yang sudah terekspos, tetapi Anda dapat mengurangi kemungkinan data itu digunakan untuk menyerang Anda:
- Periksa pemberitahuan pelanggaran. Baca dengan cermat setiap email atau surat dari perusahaan atau vendor, dan konfirmasi melalui saluran resmi, bukan melalui tautan di dalam pesan.
- Bersikap skeptis terhadap pesan yang menyebut tempat kerja atau spesialisasi Anda. Detail pribadi bukan lagi bukti bahwa pengirim asli.
- Jangan gunakan tautan atau lampiran dari pesan yang tidak terduga. Kunjungi situs web yang dikenal secara langsung atau hubungi nomor yang sudah Anda percayai.
- Gunakan kata sandi unik untuk setiap portal. Jika Anda menggunakan ulang kata sandi dari situs profesional di tempat lain, ubahlah dan gunakan pengelola kata sandi.
- Aktifkan autentikasi multi-faktor di mana pun fitur itu ditawarkan, terutama untuk email dan akun kerja.
- Beri tahu tim TI atau keamanan Anda tentang pesan mencurigakan agar rekan kerja dapat diperingatkan.
Poin-poin utama
Pelanggaran data Asahi Kasei Therapeutics menunjukkan bahwa paparan sebuah perusahaan hanya sekuat keamanan vendornya, dan bahwa nama, tempat kerja, serta spesialisasi bisa cukup untuk mendukung penipuan yang meyakinkan. Tinjau setiap pemberitahuan yang Anda terima, tanggapi dengan hati-hati pesan tak terduga yang menyebut pekerjaan Anda, dan perketat hal-hal dasar pada akun yang Anda miliki di portal profesional. Untuk konteks yang lebih luas tentang kejahatan siber yang menyasar organisasi Jepang, baca laporan kami tentang penangkapan pelaku ransomware Qilin di Jepang.
