아사히 카세이 테라퓨틱스 데이터 침해 사고는 공급업체가 운영하는 웹사이트 하나가 전체 전문가 디렉터리를 노출시킬 수 있다는 것을 보여주는 명확한 사례입니다. Japan Cyber Watch의 보도에 따르면, 공격자들이 일본의 의사들을 위해 아사히 카세이 테라퓨틱스를 대신하여 공급업체가 운영하는 사이트인 Pharma DIGITAL에 침입했습니다. 노출된 데이터는 51만 4천 명의 이름, 근무지, 전문 분야를 포함합니다.
지금까지 확인된 세부 사항은 제한적이며, 이 글은 보도된 내용만을 다룹니다. 그럼에도 불구하고, 관련된 데이터의 규모와 유형은 이 사건을 이해할 가치가 충분히 있으며, 특히 전문직 또는 제약 관련 포털에 계정을 보유한 사람들에게 그렇습니다.
Pharma DIGITAL 침해 사고에서 노출된 것
출처 보도에 따르면, 영향을 받은 기록은 일본의 51만 4천 명 의료 전문가의 것입니다. 노출된 정보는 세 가지 범주를 포함합니다:
- 이름
- 근무지
- 의료 전문 분야
보도에서는 이 사건과 관련하여 비밀번호, 금융 정보 또는 환자 기록에 대해서는 언급하지 않았으며, 그것들이 관련되었다고 말할 근거는 없습니다. 이러한 구분은 중요합니다. 이것은 의료 파일의 유출이 아닙니다. 누가 누구인지, 어디서 일하는지, 무엇을 하는지에 대한 유출입니다.
지불 데이터 침해에 비하면 사소해 보일 수 있습니다. 실제로는 고용주와 전문 분야가 포함된 검증된 전문가 목록은 거짓 명분으로 그들에게 연락할 계획을 가진任何人에게 유용한 자산입니다.
공급업체 운영 포털이 어떻게 취약점이 되었는가
Pharma DIGITAL은 아사히 카세이 테라퓨틱스가 직접 운영한 것이 아니었습니다. 그것은 회사의 의사 고객층을 대상으로 하는 공급업체 운영 사이트였습니다. 이는 흔한 구조입니다: 제약 회사들은 종종 의료 전문가를 위한 정보 포털, 등록 시스템, 커뮤니케이션 도구를 호스팅하기 위해 외부 제공업체에 의존합니다.
그 대가는 데이터가 회사가 일상적으로 완전히 통제하지 못하는 시스템에 놓이게 된다는 것입니다. 보안은 공급업체의 패치, 접근 제어, 모니터링에 달려 있으며, 방문자나 등록자는 그것들이 얼마나 잘 처리되는지 쉽게 알 방법이 없습니다. 공격자가 그러한 사이트에 침입하면, 정문에 걸린 브랜드는 한 조직의 것이지만 실패의 책임은 다른 곳에 있습니다.
계정을 보유한 사람들에게 실질적인 교훈은 신뢰하는 회사의 이름이 전체 그림의 일부에 불과하다는 것입니다. 제공한 데이터는 공급업체 체인에 의해 보관될 수 있습니다. 일본 조직에 대한 광범위한 사이버 범죄 압력도 염두에 둘 가치가 있으며, 일본에서 체포된 Qilin 랜섬웨어 용의자에 대한 우리의 보도는 유용한 맥락을 제공하지만, 그 사건은 별개의 사안이며 이 침해 사고와 연관되었다고 보도되지 않았습니다.
유출된 전문직 정보가 표적 피싱을 가능하게 하는 이유
일반적인 피싱은 양과 운에 의존합니다. 표적 피싱은 신뢰성에 의존합니다. 의사를 이름으로 호칭하고, 근무하는 병원이나 의원을 언급하며, 전문 분야를 언급하는 메시지는 계정 잠금에 관한 대량 이메일보다 훨씬 더 정당해 보입니다.
여기서 보도된 노출 데이터로, 공격자는 다음과 같은 메시지를 만들 수 있습니다:
- 특정 전문 분야와 관련된 신제품에 관한 제약 회사의 가짜 공지
- 로그인 링크가 포함된 의료 세미나 또는 웨비나에 대한 가짜 초대
- 병원 관리자나 IT 부서를 사칭하는 메시지
- 수신자가 이미 사용하는 포털에서 계정 세부 정보를 확인하라는 가짜 요청
이것들은 그러한 데이터가 어떻게 악용될 수 있는지에 대한 예시이며, 발생한 공격에 대한 보도가 아닙니다. 의료 종사자들은 또한 바쁘고 업계 커뮤니케이션을 받는 데 익숙하여, 그럴듯한 메시지를 다시 보지 않고 행동에 옮기기更容易습니다.
이것이 당신에게 의미하는 것
일본의 의료 전문가이고 Pharma DIGITAL을 사용한 적이 있다면, 아사히 카세이 테라퓨틱스 또는 공급업체의 공식 공지를 주시하고 그들의 지침을 따르십시오. 귀하의 이름, 근무지, 전문 분야가 유통되고 있을 수 있다고 가정하십시오.
의료 분야에서 일하지 않더라도 교훈은 여전히 적용됩니다. 제3자가 운영하는 모든 디렉터리, 뉴스레터 포털 또는 등록 사이트는 그 자체로 가치 있는 귀하의 프로필을 보유할 수 있습니다. 침해 사고가 귀하에게 영향을 미치기 위해 비밀번호를 잃을 필요는 없습니다.
영향을 받은 전문가들이 노출을 제한할 수 있는 방법
이미 노출된 데이터를 되돌릴 수는 없지만, 그것이 귀하에 대해 악용될 가능성을 줄일 수는 있습니다:
- 침해 공지를 확인하십시오. 회사나 공급업체로부터 받은 이메일이나 편지를 주의 깊게 읽고, 메시지 내부의 링크가 아닌 공식 채널을 통해 확인하십시오.
- 귀하의 근무지나 전문 분야를 언급하는 메시지를 의심하십시오. 개인 정보는 더 이상 발신자가 진짜라는 증거가 아닙니다.
- 예상치 못한 메시지의 링크나 첨부 파일을 사용하지 마십시오. 알려진 웹사이트로 직접 가거나 이미 신뢰하는 번호로 전화하십시오.
- 모든 포털에 고유한 비밀번호를 사용하십시오. 전문 사이트에서 사용한 비밀번호를 다른 곳에서 재사용한다면, 변경하고 비밀번호 관리자를 사용하십시오.
- 다중 인증을 활성화하십시오 제공되는 모든 곳에서, 특히 이메일과 업무 계정에 대해.
- IT 또는 보안 팀에 알리십시오 의심스러운 메시지에 대해 동료들에게 경고할 수 있도록.
핵심 요점
아사히 카세이 테라퓨틱스 데이터 침해 사고는 회사의 노출이 공급업체의 보안만큼만 강하다는 것, 그리고 이름, 근무지, 전문 분야만으로도 설득력 있는 사기를 가능하게 하기에 충분하다는 것을 보여줍니다. 받은 공지를 검토하고, 귀하의 직업을 언급하는 예상치 못한 메시지를 주의하며, 전문 포털에 보유한 계정의 기본 사항을 강화하십시오. 일본 조직을 대상으로 한 사이버 범죄에 대한 더 넓은 맥락은 일본에서의 Qilin 랜섬웨어 체포에 대한 우리의 보고서를 읽어보십시오.
