Pelanggaran Data McKesson: ShinyHunters Mencuri 284 Juta Rekam Medis Pasien

Pelanggaran Besar dalam Rantai Pasokan Layanan Kesehatan

McKesson, salah satu perusahaan rantai pasokan medis terbesar di Amerika Serikat, telah mengonfirmasi pelanggaran data yang dilaporkan mengekspos 284 juta rekam medis pasien. Skala insiden ini menempatkannya di antara pelanggaran data layanan kesehatan yang lebih signifikan yang diungkapkan tahun ini, dan hal ini menggarisbawahi betapa banyaknya informasi pribadi dan medis yang sensitif mengalir melalui perusahaan-perusahaan yang mendukung rumah sakit dan apotek di balik layar.

Menurut pemberitaan tentang insiden tersebut, kelompok ancaman yang dikenal sebagai ShinyHunters mengklaim bertanggung jawab atas pelanggaran tersebut, dengan tuduhan mencuri sekitar 1 terabyte data yang berisi 284 juta baris informasi pasien dari lingkungan data cloud Snowflake milik McKesson. Kelompok tersebut dilaporkan menuntut sekitar $55 juta dari McKesson terkait data yang dicuri. McKesson mengungkapkan insiden keamanan siber tersebut dalam pengajuan Formulir 8-K kepada Komisi Sekuritas dan Bursa Amerika Serikat (SEC), sebuah langkah yang diwajibkan bagi perusahaan publik yang menghadapi peristiwa keamanan material.

McKesson memasok obat-obatan dan produk medis ke sebagian besar rumah sakit di seluruh negeri, yang berarti data yang terekspos kemungkinan menyentuh sebagian besar pasien yang mungkin tidak pernah berinteraksi langsung dengan perusahaan itu sendiri. Itulah salah satu aspek yang lebih mengkhawatirkan dari pelanggaran rantai pasokan: pasien sering kali tidak memiliki hubungan langsung dengan organisasi yang terkena pelanggaran, namun informasi kesehatan terlindungi (PHI) dan detail pribadi mereka tetap dapat terkompromi.

Mengapa Vendor Rantai Pasokan Menjadi Target Bernilai Tinggi

Perusahaan rantai pasokan layanan kesehatan seperti McKesson berada di persimpangan antara sejumlah besar data sensitif dan sistem yang kompleks serta saling terhubung. Mereka memproses catatan resep, pengenal pasien, dan informasi kesehatan terlindungi lainnya sebagai bagian rutin dari menjalankan bisnis dengan rumah sakit, klinik, dan apotek di seluruh negeri.

Pelanggaran ini sesuai dengan pola yang lebih luas yang telah dihadapi sektor layanan kesehatan dalam beberapa tahun terakhir. Penyerang semakin menyadari bahwa vendor pihak ketiga dan penyedia infrastruktur, bukan hanya rumah sakit itu sendiri, dapat menawarkan titik kegagalan tunggal yang mengekspos data milik jutaan pasien di berbagai penyedia layanan. Dinamika serupa terjadi dalam serangan ransomware ChipSoft yang mengekspos data pasien Belanda, di mana kompromi pada satu penyedia perangkat lunak berdampak pada pasien di seluruh sistem layanan kesehatan. Ketika vendor yang menyentuh jutaan rekam medis pasien terkompromi, konsekuensinya meluas jauh melampaui basis pelanggan satu perusahaan tersebut.

Penggunaan platform data cloud seperti Snowflake dalam insiden ini juga patut dicatat. Karena organisasi layanan kesehatan dan vendor mereka semakin mengandalkan gudang data berbasis cloud untuk mengelola kumpulan data besar, mengamankan lingkungan tersebut, termasuk kontrol akses, pemantauan, dan manajemen kredensial, menjadi sama pentingnya dengan mengamankan sistem tradisional di lokasi.

Biaya Manusia di Balik Angka-Angka

Mudah bagi angka seperti 284 juta rekam medis untuk terasa abstrak, tetapi setiap baris dalam kumpulan data yang dicuri kemungkinan mewakili riwayat resep, detail medis, atau pengenal pribadi seseorang yang nyata. Informasi kesehatan terlindungi sangat berharga bagi para pelaku kejahatan karena, tidak seperti nomor kartu kredit, informasi tersebut tidak dapat begitu saja dibatalkan dan diterbitkan ulang. Data medis yang dicuri dapat digunakan untuk penipuan asuransi, kampanye phishing yang ditargetkan, pencurian identitas, dan upaya pemerasan terhadap individu yang terdampak.

Pelanggaran layanan kesehatan juga membawa risiko operasional di luar paparan data. Diskusi di acara-acara industri yang berfokus pada keamanan siber rumah sakit telah menyoroti bahwa ketika ransomware atau pelanggaran besar menyerang organisasi layanan kesehatan, dampaknya dapat meluas hingga ke perawatan pasien itu sendiri, bukan hanya privasi data, seperti yang dibahas dalam liputan tentang KTT Black Hat dan HIMSS yang berfokus pada layanan kesehatan. Meskipun insiden McKesson terutama merupakan peristiwa paparan data rather than gangguan terhadap perawatan, hal ini mencerminkan kerentanan mendasar yang sama: rantai pasokan layanan kesehatan hanya sekuat tautan vendor terlemahnya.

Apa Artinya Ini Bagi Anda

Jika Anda pernah menerima resep atau produk medis melalui penyedia yang bekerja sama dengan McKesson, dan mengingat skala perusahaan tersebut, itu bisa mencakup sebagian besar pasien di A.S., ada baiknya memperlakukan pelanggaran ini sebagai alasan untuk lebih waspada, bahkan sebelum pemberitahuan resmi datang. Perhatikan:

• Penjelasan manfaat (EOB) dari perusahaan asuransi kesehatan Anda untuk layanan atau resep yang tidak Anda kenali
• Panggilan, pesan teks, atau email tak terduga yang merujuk pada riwayat medis atau resep Anda, yang bisa jadi merupakan upaya phishing menggunakan data yang dicuri
• Pemberitahuan dari McKesson atau penyedia layanan kesehatan Anda tentang pelanggaran tersebut, dan segala penawaran layanan pemantauan kredit atau perlindungan identitas
• Laporan kredit Anda, karena PHI sering kali dipasangkan dengan detail pengenal lain yang dapat digunakan untuk pencurian identitas

McKesson belum mengonfirmasi cakupan penuh atau akurasi klaim ShinyHunters, dan detailnya dapat berkembang seiring berlanjutnya investigasi. Namun, mengingat banyaknya rekam medis yang dilaporkan terlibat, pasien yang terdampak oleh pelanggaran data McKesson ini sebaiknya mengasumsikan adanya paparan informasi pribadi sampai panduan yang lebih konkret diterbitkan.

Poin-Poin Penting

Pelanggaran data McKesson adalah pengingat bahwa risiko privasi layanan kesehatan meluas jauh melampaui dinding rumah sakit dan klinik ke vendor dan platform cloud yang secara diam-diam menangani data pasien dalam skala besar. Tinjau dengan cermat setiap pemberitahuan pelanggaran yang Anda terima, pantau akun medis dan keuangan Anda untuk aktivitas yang tidak biasa, dan pertimbangkan untuk membekukan kredit Anda jika Anda menduga informasi Anda menjadi bagian dari paparan ini. Seiring berlanjutnya investigasi atas insiden ini, tetap terinformasi melalui pembaruan terverifikasi dari McKesson dan regulator tetap menjadi cara terbaik untuk melindungi diri Anda setelahnya.