Il colosso della telemedicina Hims colpito da una violazione dei dati che espone cartelle mediche

La società di telemedicina Hims & Hers Health ha confermato una violazione dei dati che ha esposto alcune delle categorie più sensibili di informazioni personali che un'azienda possa detenere: le Informazioni Sanitarie Protette (PHI). La violazione è avvenuta dopo che degli attori malevoli hanno ottenuto accesso non autorizzato a una piattaforma di assistenza clienti di terze parti utilizzata dall'azienda. I dati esposti includevano informazioni contenute nei ticket di assistenza clienti, che nel contesto della telemedicina significa dettagli legati a prescrizioni, consulenze mediche e condizioni di salute personali.

Il gruppo di hacker ShinyHunters ha rivendicato la responsabilità dell'attacco. Il gruppo è ben noto negli ambienti della sicurezza informatica per operazioni di furto di dati su larga scala ed è stato collegato a diverse violazioni di alto profilo negli ultimi anni. Il loro coinvolgimento solleva immediate preoccupazioni su cosa accadrà ai dati rubati, inclusa la possibilità di estorsioni, rivendita sui mercati del dark web o campagne di phishing mirate contro gli utenti colpiti.

Perché i fornitori terzi rappresentano un anello debole nella sicurezza sanitaria

Uno dei dettagli più importanti di questa violazione riguarda il punto in cui si è verificata: non all'interno dell'infrastruttura principale di Hims, ma attraverso una piattaforma di assistenza clienti di terze parti. Si tratta di uno schema che è diventato sempre più comune e sempre più rilevante.

Le grandi aziende esternalizzano regolarmente funzioni come l'assistenza clienti, la fatturazione e l'archiviazione dei dati a fornitori specializzati. Ciascuno di questi fornitori diventa un'estensione della superficie di attacco dell'azienda. Quando un utente si iscrive a un servizio di telemedicina, non si fida solo di quell'azienda con i propri dati. Si fida anche di ogni fornitore, appaltatore e provider di software con cui quell'azienda collabora.

Questo è particolarmente problematico nel settore sanitario. Secondo la legge statunitense, le aziende che gestiscono PHI sono tenute a garantire che i loro associati commerciali e fornitori rispettino gli standard di conformità HIPAA. Ma la conformità sulla carta non sempre si traduce in una sicurezza efficace nella realtà. Un'azienda ben dotata di risorse come Hims può investire considerevolmente nelle proprie difese, pur rimanendo esposta attraverso un fornitore con controlli più deboli.

La violazione di Hims non è un caso isolato. Le aziende sanitarie e di telemedicina sono diventate obiettivi primari proprio perché i dati che detengono sono estremamente preziosi. Le cartelle mediche raggiungono prezzi significativamente più alti nei mercati criminali rispetto ai numeri delle carte di credito, poiché contengono informazioni che non possono essere facilmente modificate e possono essere utilizzate per frodi assicurative, furto di identità e ingegneria sociale mirata.

Cosa significa per te

Se sei un cliente di Hims o Hims & Hers, dovresti supporre che le informazioni condivise tramite i canali di assistenza clienti potrebbero essere state esposte. Ciò potrebbe includere il tuo nome, i tuoi dati di contatto e dettagli relativi a consulenze mediche o prescrizioni discusse con il team di supporto.

Più in generale, questa violazione è un utile promemoria dei rischi legati all'archiviazione di informazioni personali sensibili in sistemi centralizzati. Le piattaforme di telemedicina sono costruite attorno alla comodità, e questa comodità spesso implica il consolidamento dei dati sanitari in modi che creano obiettivi attraenti per gli aggressori. Più dati detiene un'azienda, e più fornitori condividono tali dati, maggiore è il potenziale impatto quando qualcosa va storto.

Questo non significa che dovresti evitare i servizi di telemedicina. Per molte persone, essi forniscono accesso a cure che altrimenti sarebbero difficili o costose da ottenere. Significa però che dovresti riflettere attentamente su quali informazioni condividi attraverso qualsiasi piattaforma sanitaria digitale, inclusi i ticket di supporto e le funzioni di chat, che potrebbero essere archiviati ed elaborati al di fuori dei sistemi principali dell'azienda.

Misure concrete dopo una violazione dei dati sanitari

Se utilizzi Hims & Hers o una piattaforma di telemedicina simile, ecco alcune azioni concrete che vale la pena intraprendere subito:

  • Monitora i tentativi di phishing. Gli aggressori che ottengono dati sanitari spesso li utilizzano per creare messaggi di phishing molto convincenti. Sii scettico nei confronti di qualsiasi email o messaggio non richiesto che faccia riferimento alle tue condizioni di salute, ai tuoi farmaci o a precedenti interazioni con la piattaforma.
  • Controlla i tuoi account. Esamina il tuo account Hims e qualsiasi metodo di pagamento collegato per rilevare attività insolite. Segnala qualsiasi cosa sospetta sia alla piattaforma che al tuo istituto finanziario.
  • Attenzione alle frodi d'identità. Il furto di identità medica, in cui qualcuno utilizza le tue informazioni per ottenere fraudolentemente prescrizioni o prestazioni assicurative, può essere difficile da individuare. Prendi in considerazione l'idea di attivare un avviso antifrode presso i principali uffici di credito e di monitorare i tuoi estratti conto assicurativi per verificare la presenza di servizi che non hai ricevuto.
  • Limita ciò che condividi nei ticket di supporto. In futuro, tieni presente che i canali di assistenza clienti di qualsiasi azienda potrebbero essere gestiti da fornitori terzi con la propria postura di sicurezza. Evita di condividere più dettagli di quanti siano strettamente necessari.
  • Rimani informato sulla violazione. Tieni d'occhio le comunicazioni ufficiali di Hims riguardo all'entità dell'incidente e alle eventuali misure correttive offerte, come i servizi di monitoraggio del credito.

Le violazioni dei dati nelle aziende sanitarie non cesseranno. Man mano che un numero maggiore di servizi sanitari si sposta online, la quantità di dati medici sensibili detenuti dalle piattaforme digitali non potrà che crescere. Essere un utente attento e informato di questi servizi è una delle difese più efficaci a disposizione delle persone comuni. Capire chi detiene i tuoi dati e cosa ne fa è un punto di partenza ragionevole per proteggersi.