Quest Diagnostics telah memberi tahu regulator bahwa pihak yang tidak berwenang memperoleh akses ke salah satu sistemnya, dan bahwa "rekam medis pasien tertentu" mungkin terdampak. Pengungkapan tersebut, yang dibuat dalam pengajuan regulasi dan dilaporkan oleh SecurityWeek, berpusat pada Quanum Lab Services Manager, sebuah platform di mana klien tertentu dapat melakukan pemesanan tes. Detailnya masih terbatas, tetapi kisah pelanggaran data Quest Diagnostics rekam medis pasien ini sudah menawarkan pelajaran berharga bagi siapa pun yang pernah menjalani tes darah atau tes laboratorium lainnya di Amerika Serikat.
Apa yang Diungkapkan Quest Tentang Pelanggaran Quanum
Menurut laporan sumber, Quest Diagnostics melaporkan akses tidak sah ke Quanum Lab Services Manager dalam sebuah pengajuan regulasi. Platform tersebut digunakan oleh klien tertentu, yaitu penyedia layanan kesehatan dan organisasi serupa, untuk melakukan pemesanan tes laboratorium. Ini bukan aplikasi yang ditujukan untuk konsumen yang biasanya diakses sendiri oleh pasien.
Perusahaan mengatakan bahwa mereka meyakini rekam medis pasien tertentu terlibat. Liputan atas pengajuan tersebut juga menunjukkan bahwa cakupan penuhnya masih dalam penyelidikan. Beberapa unggahan media sosial yang beredar tentang insiden ini membuat klaim yang lebih luas, termasuk tentang jenis data apa yang terekspos. Karena pengajuan itu sendiri hanya dijelaskan secara umum, klaim-klaim tersebut harus diperlakukan dengan hati-hati sampai Quest atau regulator menerbitkan lebih banyak detail.
Yang dapat kami katakan dengan pasti memang terbatas: sebuah platform pemesanan yang menghadap klien telah diakses tanpa otorisasi, beberapa rekam medis pasien diyakini terdampak, dan penyelidikan masih berlangsung. Pembaca sebaiknya memperkirakan gambaran akan berubah seiring perusahaan mengetahui lebih banyak.
Mengapa Platform Pemesanan Lab Menjadi Titik Lemah dalam Privasi Layanan Kesehatan
Kebanyakan orang menganggap laboratorium sebagai satu organisasi tunggal. Dalam praktiknya, sebuah tes melibatkan rantai pihak: kantor dokter Anda, laboratorium, sistem penagihan, dan perangkat lunak yang menghubungkan mereka. Portal seperti Quanum ada agar klien eksternal dapat mengirim pesanan dan menerima informasi, yang berarti mereka menyimpan detail pasien secara desain dan dapat diakses oleh banyak pengguna dari banyak lokasi.
Kombinasi itu menciptakan risiko. Setiap klien yang terhubung adalah serangkaian kredensial, perangkat, dan anggota staf lain yang dapat menjadi sasaran. Sistem yang dibangun untuk kenyamanan lintas banyak organisasi juga merupakan titik akses tunggal yang berharga bagi penyerang. Anda mungkin belum pernah mendengar tentang platform tersebut, namun rekam medis Anda dapat melewatinya hanya karena penyedia layanan memilih laboratorium tertentu.
Inilah juga sebabnya pasien sering kali mengetahui adanya pelanggaran dari pihak kedua. Organisasi yang Anda hadapi secara langsung mungkin bukan organisasi yang diretas, sehingga pemberitahuan bisa datang dari perusahaan yang tidak Anda kenali.
Apa Artinya Ini Bagi Anda
Jika Anda pernah menggunakan Quest Diagnostics, baik secara langsung maupun melalui dokter, pesan praktisnya adalah tetap waspada daripada panik. Tidak semua pasien terdampak, dan perusahaan belum menerbitkan daftar lengkap data yang terekspos.
Berikut yang perlu dilakukan sekarang:
- Pantau surat dan email Anda untuk surat pemberitahuan. Organisasi yang mengalami pelanggaran yang memengaruhi informasi pribadi umumnya diharapkan memberi tahu orang-orang yang terlibat. Baca setiap pemberitahuan dengan cermat dan simpan salinannya.
- Pertimbangkan pembekuan kredit. Pembekuan kredit gratis dan membatasi kemampuan seseorang untuk membuka kredit baru atas nama Anda. Ini adalah tindakan pencegahan yang wajar jika pemberitahuan menyebutkan detail identitas terlibat.
- Bersikap skeptis terhadap pesan tak terduga tentang kesehatan Anda. Teks, panggilan, atau email yang menyebutkan hasil lab, penagihan, atau "verifikasi rekam medis Anda" mungkin merupakan upaya phishing. Hubungi Quest atau penyedia layanan Anda menggunakan nomor telepon atau situs web yang Anda temukan sendiri, bukan yang disertakan dalam pesan tersebut.
- Tinjau akun dan laporan Anda. Periksa aktivitas bank, asuransi, dan portal kesehatan untuk hal apa pun yang tidak dikenal, dan laporkan masalah dengan segera.
- Perkuat login Anda. Gunakan kata sandi unik dan autentikasi multi-faktor pada portal pasien, email, dan akun keuangan.
Bagaimana Data Kesehatan yang Dicuri Digunakan Setelah Pelanggaran
Informasi medis menarik karena menggabungkan detail identitas dengan konteks yang sensitif. Penjahat dapat menggunakannya untuk menyusun pesan phishing yang meyakinkan yang merujuk pada penyedia layanan nyata atau tes nyata, yang membuat orang lebih mungkin mengklik atau membagikan lebih banyak informasi. Detail identitas juga dapat digunakan dalam upaya penipuan.
Ada penggunaan kedua yang menjadi lebih umum: tekanan. Rekam medis yang dicuri dapat dijadikan alat tekan terhadap suatu organisasi, dengan penyerang mengancam akan menerbitkannya kecuali tuntutan dipenuhi. Penjelasan kami tentang bagaimana reputasi menjadi senjata dalam pemerasan data ransomware membahas mengapa data yang dicuri telah menjadi alat tawar-menawar. Laporan sumber tentang Quest tidak menyebutkan bahwa pemerasan terlibat dalam kasus ini, jadi ini adalah konteks, bukan klaim tentang insiden ini.
Perlu juga dicatat bahwa panduan setelah pelanggaran dapat berbeda-beda tergantung pada apa yang diambil. Dalam satu kasus yang tidak terkait, sebuah perusahaan perhotelan menyarankan tamu yang terdampak untuk secara fisik mengganti paspor dan surat izin mengemudi mereka setelah dokumen identitas terekspos. Perusahaan tersebut tidak terkait dengan Quest Diagnostics, tetapi contoh tersebut menunjukkan mengapa jenis data spesifik yang tercantum dalam pemberitahuan Anda lebih penting daripada berita utamanya.
Poin-Poin Penting
Pengungkapan pelanggaran data Quest Diagnostics rekam medis pasien masih terus berkembang, dan jumlah pasti orang serta jenis data yang terdampak belum dipublikasikan. Sampai hal itu terjadi, beberapa kebiasaan dapat mencakup sebagian besar risiko:
- Waspadai surat pemberitahuan pelanggaran, dan baca dengan cermat.
- Bekukan kredit Anda jika pemberitahuan menyebutkan informasi identitas.
- Perlakukan pesan kesehatan atau penagihan yang tak terduga sebagai mencurigakan, dan verifikasi melalui saluran resmi.
- Aktifkan autentikasi multi-faktor untuk akun-akun utama Anda.
Untuk memahami mengapa rekam medis yang dicuri dapat berdampak lama setelah berita utama awal, baca artikel kami tentang pemerasan data ransomware, lalu luangkan sepuluh menit hari ini untuk mengamankan kredit dan akun Anda.
