Jaksa Agung Vermont Konfirmasi Pelanggaran yang Mempengaruhi Puluhan Ribu Orang

Jaksa Agung Vermont telah mengumumkan bahwa pelanggaran data di sebuah perusahaan produk kesehatan membahayakan informasi pribadi lebih dari 48.000 warga negara bagian tersebut. Menurut pengumuman itu, insiden tersebut terjadi pada bulan Juni, dan perusahaan yang terlibat belum disebutkan namanya secara publik dalam pengungkapan negara bagian tersebut. Meskipun rincian yang diungkapkan sejauh ini masih terbatas, skala pelanggaran yang memengaruhi sebagian besar populasi Vermont ini menjadi pengingat betapa banyaknya informasi sensitif yang mengalir melalui perusahaan-perusahaan yang berada di sekitar sistem layanan kesehatan tetapi tidak selalu dikenal luas oleh masyarakat.

Jenis pengungkapan seperti ini menjadi semakin umum. Negara bagian seperti Vermont mewajibkan perusahaan untuk memberi tahu kantor jaksa agung ketika data warga terekspos, yang sering kali menjadi cara publik mengetahui insiden-insiden ini. Perusahaan itu sendiri jarang menjadi berita utama sampai regulator atau pengawas turun tangan.

Mengapa Perusahaan yang Berdekatan dengan Kesehatan Menjadi Target Menarik

Perusahaan produk kesehatan, termasuk yang menjual peralatan medis tahan lama, perlengkapan, atau produk kesehatan, sering kali mengumpulkan data sensitif dalam jumlah yang mengejutkan: nama, alamat, tanggal lahir, rincian asuransi, dan terkadang informasi klinis yang terkait dengan kebutuhan medis pelanggan. Kombinasi ini menjadikan perusahaan-perusahaan tersebut target yang berharga bagi penyerang, bahkan ketika bisnisnya sendiri bukan rumah sakit atau penyedia asuransi.

Masalah utamanya adalah banyak dari perusahaan ini berada di luar batasan ketat HIPAA, undang-undang federal yang sebagian besar orang kaitkan dengan privasi medis. HIPAA umumnya berlaku untuk penyedia layanan kesehatan, perusahaan asuransi, dan mitra bisnis langsung mereka. Perusahaan yang menjual produk terkait kesehatan tetapi tidak memberikan perawatan klinis bisa berada di area abu-abu, mengumpulkan data terkait kesehatan tanpa terikat pada standar regulasi yang sama seperti rumah sakit atau klinik. Kesenjangan ini berarti persyaratan pemberitahuan pelanggaran dan keamanan dapat bervariasi secara signifikan tergantung pada hukum negara bagian, seperti Vermont, daripada satu standar federal tunggal.

Pola yang Lebih Luas di Balik Pelanggaran-Pelanggaran Ini

Insiden ini sesuai dengan tren yang lebih besar di mana penyerang menargetkan perusahaan yang menangani data pribadi berharga tetapi mungkin tidak memiliki sumber daya keamanan seperti lembaga keuangan atau kesehatan yang lebih besar. Kelompok ransomware, khususnya, semakin canggih dalam cara mereka menyusup dan bertahan di dalam jaringan perusahaan. Beberapa bahkan beralih ke infrastruktur terdesentralisasi untuk menjaga operasi mereka tetap berjalan setelah upaya penurunan, seperti yang terlihat pada penggunaan infrastruktur blockchain oleh ransomware DeadLock untuk menghindari upaya gangguan.

Penyerang juga semakin mengeksploitasi alat-alat yang digunakan organisasi untuk mengamankan akses jarak jauh. Peneliti keamanan telah mendokumentasikan geng ransomware yang menargetkan kerentanan VPN dalam produk perusahaan yang banyak digunakan, menggunakannya sebagai titik masuk ke sistem perusahaan. Sistem yang salah konfigurasi dan database yang terekspos tetap menjadi tema umum di banyak pelanggaran, tidak berbeda dengan eksposur yang terlihat pada kebocoran Kibana FTF Live yang mengekspos jutaan sesi video, yang menunjukkan bagaimana satu dasbor yang salah konfigurasi dapat menempatkan data pengguna dalam jumlah besar pada risiko. Tidak satu pun dari contoh-contoh ini yang dikonfirmasi sebagai penyebab pelanggaran di Vermont, tetapi ini menggambarkan berbagai taktik yang kini digunakan penyerang terhadap organisasi dari semua ukuran.

Apa Artinya Ini Bagi Anda

Jika Anda telah menerima pemberitahuan, atau berpikir Anda mungkin terkena dampak karena membeli produk atau perlengkapan kesehatan dari perusahaan yang kemudian mengungkapkan pelanggaran, perlakukan pemberitahuan tersebut dengan serius meskipun tidak merinci setiap detail. Data terkait kesehatan, termasuk informasi asuransi dan riwayat medis, dapat digunakan untuk phishing yang ditargetkan, penipuan asuransi, atau pencurian identitas yang lebih sulit dideteksi daripada sekadar nomor kartu kredit yang dicuri.

Mulailah dengan meninjau surat pemberitahuan pelanggaran dengan cermat dan memeriksa laporan asuransi kesehatan Anda untuk klaim yang tidak dikenal. Pertimbangkan untuk memasang peringatan penipuan atau pembekuan kredit dengan biro kredit utama jika data keuangan atau asuransi terlibat. Menggunakan pengelola kata sandi, seperti Dashlane, dapat membantu Anda mempertahankan kata sandi yang unik dan kuat di seluruh akun kesehatan dan belanja, mengurangi risiko bahwa satu kata sandi yang bocor dapat membuka akun lain. Jika Anda sering mencari kondisi kesehatan atau produk secara online, menggunakan VPN juga dapat menambahkan lapisan privasi dengan membuat lebih sulit bagi pihak ketiga untuk menghubungkan aktivitas penjelajahan Anda dengan identitas Anda.

Kesimpulan yang Dapat Ditindaklanjuti

  • Perhatikan surat pemberitahuan pelanggaran resmi dan bacalah dengan cermat, meskipun detailnya terbatas.
  • Pantau laporan asuransi dan tagihan medis untuk aktivitas yang tidak dikenal.
  • Bekukan kredit Anda atau pasang peringatan penipuan jika data pribadi sensitif terekspos.
  • Gunakan pengelola kata sandi untuk menghindari penggunaan ulang kredensial di seluruh akun terkait kesehatan.
  • Pertimbangkan VPN saat meneliti topik kesehatan atau berbelanja produk medis secara online.

Pelanggaran seperti ini menegaskan kebenaran sederhana: data kesehatan Anda tidak harus melewati rumah sakit untuk menjadi berharga bagi penyerang. Seiring semakin banyak perusahaan di bidang produk kesehatan yang mengumpulkan dan menyimpan informasi pribadi, tetap waspada terhadap pemberitahuan pelanggaran dan mempraktikkan kebersihan digital dasar tetap menjadi salah satu cara paling efektif untuk melindungi diri Anda.