Apa yang Dicuri ShinyHunters dari Abbott dan Perusahaan Kesehatan Lainnya

Gelombang serangan baru yang terkait dengan kelompok peretas ShinyHunters telah menyerang Abbott, perusahaan raksasa farmasi dan kesehatan yang terdiversifikasi, mengganggu operasi yang terkait dengan riset obat kanker. Dalam siklus pemberitaan yang sama, muncul kabar bahwa National Association of Insurance Commissioners (NAIC) mengonfirmasi sebuah pelanggaran di mana ShinyHunters mengklaim telah mencuri data sebesar 3,1 TB, yang dilaporkan melalui kerentanan zero-day Oracle. Secara terpisah, Novo Nordisk, pembuat Ozempic dan Wegovy, mengungkapkan serangan siber terhadapnya, mengungkapkan bahwa data uji klinis telah diretas.

Insiden-insiden ini tidak identik dalam lingkup atau atribusi yang dikonfirmasi, tetapi jika digabungkan, semuanya melukiskan gambaran yang mengkhawatirkan: pelanggaran data farmasi yang melibatkan ShinyHunters atau taktik serupa bukan lagi peristiwa satu kali. Hal ini menjadi fitur berulang dari sektor kesehatan dan ilmu hayati, di mana jalur riset, badan regulasi, dan produsen obat semuanya memiliki timbunan data berharga yang semakin mudah dijangkau oleh peretas.

Mengapa Uji Klinis dan Rekam Medis Menjadi Target Utama Peretas

Data uji klinis memiliki nilai unik bagi penyerang. Data ini sering kali mencakup pengenal pasien, riwayat kesehatan, informasi genetik, dan rincian tentang perawatan eksperimental yang masih dalam tinjauan regulasi. Bagi perusahaan seperti Abbott, pelanggaran yang mengganggu riset obat kanker tidak hanya berisiko mengekspos data; hal ini dapat menunda pengembangan perawatan yang dinanti-nanti oleh pasien. Bagi Novo Nordisk, tereksposnya data uji klinis yang terkait dengan obat laris seperti Ozempic dan Wegovy semakin meningkatkan taruhannya mengingat minat publik dan finansial yang sangat besar terhadap produk-produk tersebut.

Pelanggaran NAIC menyoroti risiko yang berbeda namun terkait: organisasi regulasi dan industri yang mengumpulkan data sensitif dari berbagai perusahaan menjadi satu titik kegagalan tunggal. Ketika ShinyHunters mengklaim data 3,1 TB dicuri melalui zero-day Oracle, hal ini menegaskan bagaimana satu kerentanan yang belum ditambal pada perangkat lunak perusahaan yang banyak digunakan dapat menjalar ke seluruh sektor, memengaruhi organisasi yang tidak memiliki peran langsung dalam menciptakan celah tersebut.

Bagaimana Pelanggaran Data Farmasi Dapat Menyebabkan Pencurian Identitas dan Penipuan Asuransi

Ketika data pasien atau uji klinis bocor, konsekuensinya meluas melampaui perusahaan yang diretas. Rekam medis biasanya berisi kombinasi kaya detail pribadi, termasuk nama, tanggal lahir, kondisi kesehatan, dan terkadang informasi asuransi atau keuangan. Di tangan yang salah, data ini dapat digunakan untuk pencurian identitas, klaim asuransi palsu, atau kampanye phishing bertarget yang menyamar sebagai penyedia layanan kesehatan atau produsen obat.

Ini bukanlah risiko hipotetis. Pelanggaran data kesehatan telah berulang kali menunjukkan bagaimana catatan yang terekspos berubah menjadi kerugian nyata bagi konsumen. Pelanggaran data Hims & Hers, misalnya, mengekspos Informasi Kesehatan yang Dilindungi (PHI) dan menjadi studi kasus tentang seberapa cepat data medis sensitif dapat berakhir dikompromikan, serta langkah-langkah yang perlu diambil oleh pasien yang terkena dampak setelahnya. Insiden Abbott dan NAIC mengikuti pola serupa: begitu data medis atau klinis dicuri, menjadi sangat sulit untuk menahannya, dan orang-orang yang informasinya terlibat sering kali memiliki sedikit visibilitas tentang ke mana data itu berakhir.

Langkah-Langkah yang Dapat Diambil Pasien dan Konsumen untuk Melindungi Privasi Medis Mereka

Konsumen jarang memiliki kendali atas bagaimana perusahaan farmasi, asuransi, atau organisasi riset mengamankan data mereka, tetapi masih ada langkah-langkah konkret yang layak diambil setelah sebuah pelanggaran data farmasi yang melibatkan ShinyHunters atau aktor serupa terungkap.

Pertama, perhatikan pemberitahuan pelanggaran dari penyedia layanan kesehatan, perusahaan asuransi, atau sponsor uji klinis mana pun yang pernah berinteraksi dengan Anda, dan tanggapi dengan serius meskipun pemberitahuan itu tampak rutin. Kedua, pantau laporan asuransi dan tagihan medis terhadap biaya yang tidak dikenal, yang bisa menjadi tanda awal penipuan asuransi menggunakan detail identitas yang dicuri. Ketiga, pertimbangkan untuk menempatkan peringatan penipuan atau pembekuan kredit jika informasi keuangan merupakan bagian dari data yang terekspos. Terakhir, bersikaplah skeptis terhadap panggilan atau email yang tidak diminta yang merujuk pada uji klinis, resep, atau kondisi kesehatan, karena penyerang sering menggunakan data medis yang diretas untuk membuat upaya phishing lebih meyakinkan.

Apa Artinya Bagi Anda

Jika Anda pernah berpartisipasi dalam uji klinis, menggunakan obat dari perusahaan seperti Novo Nordisk, atau memiliki hubungan apa pun dengan produk kesehatan Abbott, ada baiknya tetap waspada terhadap pemberitahuan pelanggaran resmi dalam beberapa minggu mendatang. Rincian tentang data siapa yang terpengaruh dan bagaimana tepatnya masih terus muncul, tetapi pola di seluruh insiden ini menunjukkan bahwa data kesehatan dan farmasi tetap menjadi target bernilai tinggi. Anda tidak dapat menambal perangkat lunak Oracle sendiri atau mengamankan sistem internal Abbott, tetapi Anda dapat mengendalikan bagaimana Anda merespons begitu mengetahui bahwa informasi Anda mungkin terlibat.

Poin Penting

  • Konfirmasikan apakah Anda telah diberitahu secara langsung oleh Abbott, Novo Nordisk, NAIC, atau organisasi afiliasi tentang pelanggaran ini.
  • Pantau laporan medis dan asuransi dengan saksama untuk aktivitas yang tidak dikenal dalam beberapa bulan ke depan.
  • Pertimbangkan pembekuan kredit atau peringatan penipuan jika detail keuangan termasuk dalam catatan yang terekspos.
  • Tetap waspada terhadap upaya phishing terkait kesehatan yang merujuk pada perawatan spesifik atau partisipasi uji klinis.
  • Tinjau bagaimana insiden data kesehatan lainnya, seperti pelanggaran Hims & Hers, ditangani untuk memahami langkah perlindungan yang seharusnya diharapkan oleh pasien yang terkena dampak.