Perusahaan Teknologi Kesehatan Konfirmasi Akses Tanpa Izin yang Berkepanjangan
CareCloud, perusahaan yang menyediakan layanan rekam kesehatan elektronik bagi penyedia layanan kesehatan, telah mulai secara resmi memberi tahu ratusan ribu pasien bahwa data medis mereka dicuri dalam sebuah pelanggaran awal tahun ini. Menurut perusahaan, peretas memiliki akses ke salah satu penyimpanan data rekam kesehatan elektroniknya setidaknya selama enam hari, antara 10 Maret hingga 16 Maret, sebelum intrusi terdeteksi dan dibendung.
Pemberitahuan ini datang beberapa bulan setelah insiden itu sendiri, jeda yang umum terjadi dalam pelanggaran data kesehatan karena perusahaan biasanya membutuhkan waktu untuk menyelidiki cakupan akses tanpa izin, bekerja dengan investigator forensik, dan menyiapkan pemberitahuan hukum sebelum menghubungi individu yang terdampak. Namun, bagi pasien, penundaan itu berarti informasi kesehatan pribadi mungkin sudah beredar atau berisiko untuk waktu yang lama sebelum mereka diberi tahu.
Kejutan yang Tidak Biasa: Peretas yang Membagikan Bukti
Yang membedakan insiden ini dari banyak pelanggaran data kesehatan lainnya adalah cara pelaku mendekati CareCloud. Perusahaan menyatakan bahwa seorang peretas mengaku bertanggung jawab atas intrusi tersebut dan, yang mencolok, membagikan sampel data curian langsung kepada perusahaan bersamaan dengan tuntutan tebusan yang dimaksudkan untuk mencegah informasi itu dipublikasikan secara daring. Membagikan sampel data sebagai alat tawar bukanlah standar bagi aktor ransomware atau pemeras, yang lebih sering mengancam akan mempublikasikan file curian tanpa memberikan bukti di awal. Detail tersebut menunjukkan bahwa penyerang ingin membangun kredibilitas dengan cepat, kemungkinan untuk menekan CareCloud agar membayar daripada mempertaruhkan negosiasi yang panjang.
Meski demikian, tidak ada kelompok ransomware atau geng pemeras yang mapan yang secara terbuka mengaku bertanggung jawab atas pelanggaran ini. Ketidakjelasan semacam ini tidak luar biasa dalam lanskap ancaman saat ini, di mana aktor tunggal, kelompok kecil, atau afiliasi yang beroperasi di luar merek ransomware yang dikenal semakin sering melakukan serangan tanpa mengklaimnya di situs kebocoran yang biasa digunakan oleh operasi siber kriminal yang lebih besar. Ketiadaan klaim bernama tidak serta merta mengurangi tingkat keparahan paparan, tetapi hanya membuat atribusi dan pemantauan lebih sulit bagi investigator dan pasien yang terdampak.
Upaya pemberitahuan ini menyusul pengungkapan sebelumnya tahun ini di mana CareCloud mengonfirmasi peretas telah mengakses rekam medis pasien yang terkait dengan insiden keamanan yang sama lebih luas. Peluncuran pemberitahuan kepada ratusan ribu individu merupakan fase berikutnya dari proses pengungkapan tersebut, seiring perusahaan merinci data siapa saja yang terdampak dan kategori informasi apa yang terpapar.
Mengapa Pelanggaran Data Kesehatan Membawa Risiko yang Sangat Besar
Rekam kesehatan elektronik biasanya berisi campuran informasi yang sangat sensitif: nama, tanggal lahir, nomor Jaminan Sosial, rincian asuransi, riwayat diagnosis dan pengobatan, dan terkadang data penagihan atau keuangan. Tidak seperti kata sandi yang disusupi, jenis informasi ini tidak bisa begitu saja diatur ulang. Pencurian identitas medis, penipuan asuransi, dan kampanye phishing yang ditargetkan adalah semua hasil yang realistis ketika jenis data ini jatuh ke tangan yang salah, dan dampaknya bisa muncul berbulan-bulan atau bahkan bertahun-tahun setelah pelanggaran awal.
Vendor teknologi kesehatan seperti CareCloud berada pada posisi yang sangat sensitif karena mereka memproses dan menyimpan data atas nama banyak organisasi penyedia layanan, artinya satu pelanggaran di satu vendor dapat berdampak meluas ke pasien di berbagai klinik dan sistem rumah sakit berbeda yang tidak pernah berinteraksi langsung dengan perusahaan yang disusupi tersebut. Seperti yang telah dilaporkan sebelumnya, skala paparan CareCloud telah mempengaruhi jutaan rekam pasien di seluruh basis kliennya, menggarisbawahi bagaimana risiko terkonsentrasi ketika begitu banyak data kesehatan mengalir melalui sejumlah kecil penyedia teknologi.
Apa Artinya Ini Bagi Anda
Jika Anda telah menerima, atau nanti menerima, surat pemberitahuan dari CareCloud, anggaplah serius meskipun bahasanya terdengar rutin. Baca surat itu dengan saksama untuk memahami secara pasti kategori informasi Anda yang terlibat, karena tidak setiap individu yang diberi tahu akan memiliki data yang sama terekpos. Jika nomor Jaminan Sosial atau pengenal asuransi termasuk di dalamnya, pertimbangkan untuk menempatkan peringatan penipuan atau pembekuan kredit di biro kredit utama. Pantau laporan asuransi dan tagihan medis Anda dengan cermat untuk layanan yang tidak Anda kenali, karena pencurian identitas medis bisa lebih sulit dikenali daripada penipuan keuangan standar. Berhati-hatilah terhadap email, panggilan, atau teks lanjutan yang mengaku dari CareCloud atau penyedia layanan kesehatan Anda yang meminta Anda memverifikasi rincian pribadi, karena pemberitahuan pelanggaran sering kali dieksploitasi oleh penipu yang menjalankan kampanye phishing.
Poin-Poin Penting
Proses pemberitahuan CareCloud adalah pengingat bahwa pelanggaran data kesehatan sering kali berlangsung secara bertahap, dengan intrusi awal, investigasi, dan pemberitahuan akhir dipisahkan oleh waktu berbulan-bulan. Pasien yang terdampak insiden ini harus meninjau setiap surat pemberitahuan dengan saksama, mendaftar pemantauan kredit yang ditawarkan jika tersedia, dan tetap waspada terhadap komunikasi mencurigakan yang merujuk riwayat medis atau informasi asuransi mereka. Seiring organisasi kesehatan terus bergantung pada vendor teknologi pihak ketiga untuk mengelola rekam sensitif, insiden seperti ini menyoroti mengapa kewaspadaan dari perusahaan dan pasien tetap penting jauh setelah pelanggaran pertama kali terdeteksi.
