De datalek bij Asahi Kasei Therapeutics is een duidelijk voorbeeld van hoe één door een leverancier beheerde website een heel beroepsregister kan blootleggen. Volgens berichtgeving van Japan Cyber Watch braken aanvallers in bij Pharma DIGITAL, een site die door een leverancier namens Asahi Kasei Therapeutics werd beheerd voor artsen in Japan. De blootgestelde gegevens omvatten de namen, werkplekken en specialismen van 514.000 personen.
De tot nu toe beschikbare details zijn beperkt, en dit bericht houdt zich aan wat er is gerapporteerd. Toch zijn de omvang en het type gegevens dat betrokken is voldoende om de zaak de moeite van het begrijpen waard te maken, vooral voor iedereen met een account op een professioneel of farmaceutisch portaal.
Wat er werd blootgesteld in het datalek bij Pharma DIGITAL
Volgens het bronbericht behoren de getroffen records toe aan 514.000 zorgprofessionals in Japan. De blootgestelde informatie omvat drie categorieën:
- Namen
- Werkplekken
- Medische specialismen
In de berichtgeving worden geen wachtwoorden, financiële gegevens of patiëntendossiers genoemd in verband met dit incident, en er is geen basis om te stellen dat deze erbij betrokken waren. Dat onderscheid is belangrijk. Dit is geen lek van medische dossiers. Het is een lek van wie mensen zijn, waar ze werken en wat ze doen.
Dat klinkt misschien gering vergeleken met een datalek van betaalgegevens. In de praktijk is een geverifieerde lijst van professionals met hun werkgevers en specialismen een waardevol bezit voor iedereen die van plan is deze mensen onder valse voorwendselen te benaderen.
Hoe een door een leverancier beheerd portaal het zwakke punt werd
Pharma DIGITAL werd niet rechtstreeks beheerd door Asahi Kasei Therapeutics. Het was een door een leverancier beheerde site die het publiek van artsen van het bedrijf bediende. Dit is een veelvoorkomende regeling: farmaceutische bedrijven vertrouwen vaak op externe aanbieders voor het hosten van informatieportalen, registratiesystemen en communicatiemiddelen voor medische professionals.
De keerzijde is dat de gegevens terechtkomen in een systeem dat het bedrijf niet dagelijks volledig onder controle heeft. De beveiliging hangt af van de patching, toegangscontroles en monitoring van de leverancier, en een bezoeker of registrant heeft geen gemakkelijke manier om te zien hoe goed die worden uitgevoerd. Wanneer aanvallers in zo'n site doordringen, behoort het merk op de voordeur toe aan de ene organisatie, terwijl de fout bij een andere ligt.
Voor mensen met accounts is de praktische les dat de naam van het bedrijf dat je vertrouwt slechts een deel van het plaatje is. De gegevens die je verstrekt, kunnen door een keten van leveranciers worden beheerd. De bredere druk van cybercriminaliteit op Japanse organisaties is ook het onthouden waard, en onze berichtgeving over de in Japan gearresteerde verdachte van Qilin-ransomware biedt nuttige context, al is die zaak een aparte kwestie en is niet gemeld dat deze verband houdt met dit datalek.
Waarom gelekte professionele gegevens gerichte phishing mogelijk maken
Generieke phishing vertrouwt op volume en geluk. Gerichte phishing vertrouwt op geloofwaardigheid. Een bericht dat een arts bij naam aanspreekt, het ziekenhuis of de kliniek noemt waar die werkt en verwijst naar het specialisme, ziet er veel legitiemer uit dan een massa-e-mail over een vergrendeld account.
Met de gegevens die hier naar verluidt zijn blootgesteld, zou een aanvaller berichten kunnen opstellen zoals:
- Een nepbericht van een farmaceutisch bedrijf over een nieuw product dat relevant is voor een specifiek specialisme
- Een valse uitnodiging voor een medisch seminar of webinar met een inloglink
- Een bericht waarin iemand zich voordoet als ziekenhuisbeheerder of IT-afdeling
- Een vals verzoek om accountgegevens te verifiëren op een portaal dat de ontvanger al gebruikt
Dit zijn voorbeelden van hoe zulke gegevens kunnen worden misbruikt, geen meldingen van aanvallen die hebben plaatsgevonden. Zorgmedewerkers zijn bovendien druk en gewend aan het ontvangen van branchecommunicatie, waardoor een plausibel bericht gemakkelijker zonder tweede blik wordt opgevolgd.
Wat dit voor jou betekent
Als je een zorgprofessional in Japan bent en Pharma DIGITAL hebt gebruikt, let dan op officiële berichten van Asahi Kasei Therapeutics of de leverancier en volg hun instructies op. Ga ervan uit dat je naam, werkplek en specialisme in omloop kunnen zijn.
Als je niet in de zorg werkt, geldt de les nog steeds. Elk register, nieuwsbriefportaal of registratiesite dat door een derde partij wordt beheerd, kan een profiel van jou bevatten dat op zichzelf waardevol is. Je hoeft geen wachtwoord te verliezen om door een datalek te worden getroffen.
Hoe getroffen professionals hun blootstelling kunnen beperken
Je kunt gegevens die al zijn blootgesteld niet terughalen, maar je kunt de kans verkleinen dat ze tegen je worden gebruikt:
- Controleer op datalekmeldingen. Lees elke e-mail of brief van het bedrijf of de leverancier zorgvuldig en bevestig deze via een officieel kanaal in plaats van via een link in het bericht.
- Wees sceptisch over berichten die je werkplek of specialisme noemen. Persoonlijke gegevens zijn niet langer een bewijs dat een afzender echt is.
- Gebruik geen links of bijlagen uit onverwachte berichten. Ga rechtstreeks naar de bekende website of bel een nummer dat je al vertrouwt.
- Gebruik unieke wachtwoorden voor elk portaal. Als je een wachtwoord van een professionele site elders hergebruikt, wijzig het dan en gebruik een wachtwoordmanager.
- Schakel multi-factorauthenticatie in waar deze wordt aangeboden, vooral voor e-mail en werkaccounts.
- Vertel je IT- of beveiligingsteam over verdachte berichten, zodat collega's kunnen worden gewaarschuwd.
Belangrijkste punten
Het datalek bij Asahi Kasei Therapeutics laat zien dat de blootstelling van een bedrijf slechts zo sterk is als de beveiliging van zijn leveranciers, en dat namen, werkplekken en specialismen voldoende kunnen zijn om overtuigende scams mogelijk te maken. Bekijk elke melding die je ontvangt, behandel onverwachte berichten die je baan noemen met voorzichtigheid en verscherp de basisprincipes van accounts die je bij professionele portalen hebt. Lees voor bredere context over cybercriminaliteit gericht op Japanse organisaties ons rapport over de arrestatie in de Qilin-ransomwarezaak in Japan.
