La violazione dei dati di Asahi Kasei Therapeutics è un chiaro esempio di come un singolo sito gestito da un fornitore possa esporre un intero elenco professionale. Secondo quanto riportato da Japan Cyber Watch, gli aggressori sono riusciti a penetrare in Pharma DIGITAL, un sito gestito da un fornitore per conto di Asahi Kasei Therapeutics per i medici in Giappone. I dati esposti riguardano nomi, luoghi di lavoro e specializzazioni di 514.000 persone.
I dettagli disponibili finora sono limitati, e questo articolo si attiene a quanto è stato riportato. Anche così, la portata e il tipo di dati coinvolti sono sufficienti a rendere il caso degno di essere compreso, in particolare per chiunque abbia un account su un portale professionale o farmaceutico.
Cosa è stato esposto nella violazione di Pharma DIGITAL
Secondo il rapporto fonte, i record interessati appartengono a 514.000 professionisti sanitari in Giappone. Le informazioni esposte includono tre categorie:
- Nomi
- Luoghi di lavoro
- Specializzazioni mediche
Il rapporto non menziona password, dati finanziari o cartelle cliniche dei pazienti in relazione a questo incidente, e non abbiamo basi per affermare che siano stati coinvolti. Questa distinzione è importante. Non si tratta di una fuga di fascicoli medici. È una fuga di informazioni su chi sono le persone, dove lavorano e cosa fanno.
Può sembrare di poco conto rispetto a una violazione di dati di pagamento. In pratica, un elenco verificato di professionisti con i loro datori di lavoro e specializzazioni è un bene prezioso per chiunque pianifichi di contattare queste persone con falsi pretesti.
Come un portale gestito da un fornitore è diventato il punto debole
Pharma DIGITAL non era gestito direttamente da Asahi Kasei Therapeutics. Era un sito gestito da un fornitore che serviva il pubblico di medici dell'azienda. Questa è una situazione comune: le aziende farmaceutiche spesso si affidano a fornitori esterni per ospitare portali informativi, sistemi di registrazione e strumenti di comunicazione per i professionisti medici.
Il compromesso è che i dati finiscono in un sistema che l'azienda non controlla completamente giorno per giorno. La sicurezza dipende dalle patch, dai controlli di accesso e dal monitoraggio del fornitore, e un visitatore o un registrato non ha un modo semplice per verificare quanto bene siano gestiti. Quando gli aggressori entrano in un sito del genere, il marchio sulla porta d'ingresso appartiene a un'organizzazione mentre il fallimento è di un'altra.
Per le persone con account, la lezione pratica è che il nome dell'azienda di cui ti fidi è solo una parte del quadro. I dati che fornisci possono essere detenuti da una catena di fornitori. Vale anche la pena tenere presente la più ampia pressione del cybercrime sulle organizzazioni giapponesi, e la nostra copertura del sospetto ransomware Qilin arrestato in Giappone fornisce un contesto utile, sebbene quel caso sia una questione separata e non sia riportato come collegato a questa violazione.
Perché i dettagli professionali trapelati favoriscono il phishing mirato
Il phishing generico si basa sul volume e sulla fortuna. Il phishing mirato si basa sulla credibilità. Un messaggio che si rivolge a un medico per nome, menziona l'ospedale o la clinica dove lavora e fa riferimento alla sua specializzazione sembra molto più legittimo di un'email di massa su un account bloccato.
Con i dati presumibilmente esposti in questo caso, un aggressore potrebbe confezionare messaggi come:
- Un falso avviso da un'azienda farmaceutica su un nuovo prodotto rilevante per una specializzazione specifica
- Un invito fasullo a un seminario o webinar medico con un link di accesso
- Un messaggio che impersona un amministratore ospedaliero o un reparto IT
- Una falsa richiesta di verificare i dettagli dell'account su un portale che il destinatario già utilizza
Questi sono esempi di come tali dati possono essere usati impropriamente, non resoconti di attacchi avvenuti. Gli operatori sanitari sono anche impegnati e abituati a ricevere comunicazioni di settore, il che rende più facile agire su un messaggio plausibile senza un secondo sguardo.
Cosa significa per te
Se sei un professionista sanitario in Giappone e hai utilizzato Pharma DIGITAL, presta attenzione agli avvisi ufficiali di Asahi Kasei Therapeutics o del fornitore e segui le loro istruzioni. Presumi che il tuo nome, luogo di lavoro e specializzazione possano essere in circolazione.
Se non lavori in ambito sanitario, la lezione vale comunque. Qualsiasi elenco, portale di newsletter o sito di registrazione gestito da terzi può contenere un tuo profilo che è prezioso di per sé. Non è necessario perdere una password perché una violazione ti riguardi.
Come i professionisti colpiti possono limitare la propria esposizione
Non puoi recuperare dati già esposti, ma puoi ridurre la probabilità che vengano usati contro di te:
- Controlla le notifiche di violazione. Leggi attentamente qualsiasi email o lettera dall'azienda o dal fornitore, e confermala attraverso un canale ufficiale piuttosto che tramite un link all'interno del messaggio.
- Sii scettico verso i messaggi che citano il tuo luogo di lavoro o la tua specializzazione. I dettagli personali non sono più una prova che il mittente sia genuino.
- Non usare link o allegati da messaggi inaspettati. Vai direttamente al sito web conosciuto o chiama un numero di cui ti fidi già.
- Usa password uniche per ogni portale. Se riutilizzi una password da un sito professionale altrove, cambiala e usa un gestore di password.
- Attiva l'autenticazione a più fattori ovunque sia offerta, specialmente per email e account di lavoro.
- Informa il tuo team IT o di sicurezza riguardo ai messaggi sospetti, così che i colleghi possano essere avvisati.
Punti chiave
La violazione dei dati di Asahi Kasei Therapeutics dimostra che l'esposizione di un'azienda è forte solo quanto la sicurezza dei suoi fornitori, e che nomi, luoghi di lavoro e specializzazioni possono essere sufficienti per alimentare truffe convincenti. Esamina qualsiasi notifica che ricevi, tratta con cautela i messaggi inaspettati che menzionano il tuo lavoro e rafforza le basi sugli account che detieni presso portali professionali. Per un contesto più ampio sul cybercrime rivolto alle organizzazioni giapponesi, leggi il nostro rapporto sull'arresto per ransomware Qilin in Giappone.
