Un gigante della diagnostica oncologica diventa l'ultimo bersaglio di ShinyHunters

Il gruppo di estorsione ShinyHunters ha pubblicato un dataset contenente circa 10,9 milioni di indirizzi email sottratti a una grande azienda di diagnostica oncologica, dopo che la società sanitaria avrebbe rifiutato di pagare un riscatto. I dati trapelati comprendono informazioni personali associate a pazienti, clienti e ai servizi sanitari da loro utilizzati, sollevando nuovi timori su come dettagli sanitari sensibili finiscano per circolare nei forum criminali. I ricercatori di sicurezza hanno collegato la violazione a Exact Sciences, un fornitore di diagnostica oncologica, sebbene l'esatta portata delle persone coinvolte sia ancora in fase di valutazione.

Ciò che rende notevole questo incidente non è solo la dimensione della fuga di dati. È il metodo utilizzato da ShinyHunters per accedere ai sistemi in primo luogo: non hanno sfruttato una falla software né oltrepassato un firewall. Hanno semplicemente alzato il telefono.

Come il vishing ha trasformato i dipendenti in complici inconsapevoli

Secondo quanto riportato, ShinyHunters ha chiamato i dipendenti dell'azienda di diagnostica e ha utilizzato tecniche di ingegneria sociale, comunemente note come vishing, o voice phishing, per convincere il personale a consegnare le credenziali di accesso o ad approvare modifiche agli account. Una volta entrati, gli attaccanti sono riusciti a estrarre una grande quantità di dati prima che l'azienda o il suo team di sicurezza potessero bloccare l'intrusione.

Non si tratta di una tattica isolata per il gruppo. ShinyHunters ha utilizzato lo stesso schema contro altre grandi organizzazioni. La violazione dei dati di ADT ha esposto circa 10 milioni di record dopo che gli attaccanti avevano usato un'ingegneria sociale pressoché identica per indurre i dipendenti a concedere l'accesso, e la violazione di Charter Communications ha interessato 4,9 milioni di record con lo stesso metodo. In entrambi i casi, la debolezza non era una vulnerabilità tecnica, ma umana: un dipendente al telefono che credeva di parlare con qualcuno di legittimo.

Questo schema è importante per come le organizzazioni dovrebbero pensare alla difesa. Gli attacchi di vishing riescono perché prendono di mira la fiducia e l'urgenza anziché il codice. Un chiamante convincente che si spaccia per il supporto IT, un fornitore o un manager può spesso andare più lontano di un exploit sofisticato, soprattutto quando il personale non è addestrato a verificare le richieste insolite attraverso un secondo canale.

Cosa è stato esposto e perché la dinamica dell'estorsione è rilevante

Il dataset diffuso conterrebbe circa 10,9 milioni di indirizzi email unici insieme ad altre informazioni personali e sanitarie associate a pazienti e clienti dell'azienda di diagnostica. Poiché la società sembra aver rifiutato di pagare, ShinyHunters ha pubblicato i dati pubblicamente invece di tenerli nascosti, una mossa che il gruppo ha presentato come una punizione, dichiarando, secondo quanto riferito, che l'azienda "avrebbe dovuto pagare il riscatto".

Questo modello di estorsione seguito dalla pubblicazione è diventato la firma di ShinyHunters. Riflette quanto accaduto dopo la violazione dei dati di Zara, in cui i dati dei clienti sottratti sono stati ricondotti allo stesso gruppo che operava attraverso la compromissione di un fornitore terzo. Il filo conduttore di questi incidenti è che raramente gli attaccanti hanno bisogno di penetrare direttamente nei sistemi centrali di un'azienda. Trovano un punto di ingresso più facile, che si tratti di un fornitore, di un addetto al call center o di un servizio di assistenza, e lo usano come punto d'appoggio.

Per le violazioni che riguardano il settore sanitario in particolare, la posta in gioco è più alta rispetto a una fuga di dati nel commercio al dettaglio. Gli indirizzi email abbinati a informazioni diagnostiche o terapeutiche possono essere utilizzati per phishing mirato, frodi assicurative o semplicemente per l'esposizione di una storia clinica sensibile che le persone non avrebbero mai immaginato diventasse pubblica.

Cosa significa questo per te

Se hai mai utilizzato i servizi di un fornitore di diagnostica oncologica, in particolare uno legato a questo incidente, vale la pena verificare se il tuo indirizzo email risulta nei servizi di notifica delle violazioni e prestare attenzione a eventuali attività anomale sull'account. Anche se le tue cartelle cliniche specifiche non facevano parte del dataset trapelato, l'esposizione della tua email associata al nome di un fornitore sanitario può renderti un bersaglio per email di phishing progettate per sembrare comunicazioni mediche ufficiali.

Più in generale, questa violazione ci ricorda che la protezione dei dati non riguarda solo firewall e crittografia. Riguarda anche quanto bene un'organizzazione addestra il proprio personale a riconoscere l'ingegneria sociale. Le aziende che gestiscono dati sanitari sensibili sono bersagli appetibili proprio perché le informazioni hanno un valore a lungo termine e perché una singola telefonata riuscita può sbloccare un accesso attorno al quale sono stati costruiti anni di misure di sicurezza.

Consigli pratici

  • Verifica se il tuo indirizzo email è comparso in questa o in altre violazioni correlate utilizzando un servizio affidabile di controllo delle violazioni e cambia le password di tutti gli account associati a quell'indirizzo.
  • Sii scettico riguardo a email o chiamate non richieste che fanno riferimento a appuntamenti medici, risultati di esami o dettagli di fatturazione, soprattutto se ti chiedono di cliccare un link o di confermare informazioni personali.
  • Attiva l'autenticazione a più fattori su qualsiasi portale sanitario o account paziente che utilizzi, poiché ciò riduce i danni anche se le credenziali vengono compromesse.
  • Se interagisci con organizzazioni che gestiscono dati sensibili, chiedi quali passaggi di verifica adottano internamente prima di concedere l'accesso all'account tramite telefono, poiché la resistenza al vishing spesso dipende dalle policy, non solo dalla tecnologia.

Come dimostra lo schema di ShinyHunters, la violazione della diagnostica oncologica di ShinyHunters non è solo la storia del fallimento di una singola azienda. È un segnale che l'ingegneria sociale rimane uno degli strumenti più efficaci nell'arsenale di un hacker e che la vigilanza, da parte sia delle organizzazioni sia degli individui, è ancora la miglior difesa disponibile.