Twee zorgdatalekken, één slechte week voor patiëntgegevens

Een nieuwe bundeling van beveiligingsincidenten, samengesteld door Secret CISO, benadrukt hoe kwetsbaar zorgorganisaties nog altijd zijn voor afpersingsgerichte cyberaanvallen. Tot de opvallendste gebeurtenissen behoort een datalek bij OnePoint Patient Care dat naar verluidt 800.000 hospicepatiënten trof, en een beweerde poging tot data-afpersing van 1,3 terabyte gericht op farmaceutisch gigant Novo Nordisk.

Het incident bij OnePoint Patient Care is bijzonder zorgwekkend vanwege wat er werd blootgelegd. Volgens berichtgeving combineren de gecompromitteerde dossiers medische informatie, verzekeringsgegevens en identiteitsgegevens — precies de combinatie die datalekken in de hospicezorg en aanverwante sectoren zo schadelijk maakt. De INC Ransom-groep heeft de verantwoordelijkheid voor de aanval opgeëist en positioneert deze als een van de belangrijkste datalekken in de zorg die deze maand zijn gemeld.

Daarnaast werd Novo Nordisk geconfronteerd met een afpersingspoging waarbij naar verluidt 1,3 TB aan data betrokken was. Hoewel de volledige details van wat er is ontvreemd beperkt blijven in openbare berichtgeving, wijst de schaal alleen al op het soort grootschalige datadiefstal dat gebruikelijk is geworden in dubbel-afpersingsransomwarecampagnes, waarbij aanvallers zowel systemen versleutelen als dreigen gestolen bestanden te lekken tenzij er wordt betaald.

Waarom hospice- en farmadata een primair doelwit zijn

Medische dossiers zijn waardevol voor aanvallers juist omdat ze zelden op zichzelf staan. Het dossier van een hospicepatiënt bevat doorgaans klinische geschiedenis, verzekeringsidentificatoren en persoonlijke identiteitsgegevens allemaal op één plek. Die combinatie stelt criminelen in staat om verzekeringsfraude, identiteitsdiefstal en gerichte phishingcampagnes te proberen met gegevens die legitiem lijken omdat ze dat ook zijn.

Dit is geen geïsoleerd patroon. Ransomwaregroepen richten zich steeds vaker op zorgaanbieders en aanverwante diensten omdat de data gevoelig is, de operationele inzet hoog is en organisaties zich vaak onder druk gezet voelen om snel te betalen om de patiëntenzorg niet te verstoren. Federale agentschappen hebben deze trend herhaaldelijk gesignaleerd; gezamenlijke adviezen over dreigingen zoals Gunra-ransomware hebben bijvoorbeeld specifiek het richten op de zorg- en financiële sector genoemd als een groeiende zorg. Een gerelateerde uiteenzetting van datzelfde advies merkte op hoe agressieve dubbel-afpersingstactieken — het stelen van data voordat deze wordt versleuteld — standaardpraktijk zijn geworden bij meerdere ransomwareoperaties, niet alleen bij degenen die in deze specifieke bundeling worden genoemd.

Een zeldzame veroordeling: de strafoplegging van een Conti-affiliate

Te midden van het nieuws over datalekken meldde de bundeling ook een concrete juridische uitkomst: een Amerikaanse rechtbank veroordeelde een Oekraïense staatsburger tot vier jaar gevangenisstraf voor zijn rol in Conti-ransomwareaanvallen. Conti was een van de meest productieve en destructieve ransomwareoperaties van de afgelopen jaren en perste een groot aantal organisaties af voordat de infrastructuur werd verstoord. Veroordelingen die direct aan de bende zijn gekoppeld, zijn zeldzaam geweest, wat deze strafoplegging opmerkelijk maakt, zelfs als de rol van het individu slechts één stuk was van een veel groter crimineel netwerk.

De zaak is een herinnering dat wetshandhavingsactie tegen ransomwareoperatoren wel degelijk plaatsvindt, zelfs jaren na een aanval, maar dat dit zelden gebeurt op de schaal of met de snelheid die nodig is om te voorkomen dat er in de tussentijd nieuwe datalekken optreden. Zero-day-kwetsbaarheden in Windows die actief worden misbruikt, ook gesignaleerd in dezelfde bundeling, onderstrepen dat aanvallers nieuwe toegangspunten blijven vinden terwijl oudere zaken hun weg door de rechtbanken vinden.

Wat dit voor jou betekent

Als jij of een familielid te maken heeft gehad met een hospiceaanbieder, verzekeringsmaatschappij of farmaceutische dienst die aan deze incidenten is gelinkt, is het de moeite waard om je medische en verzekeringsdossiers als mogelijk blootgesteld te behandelen. Datalekken in de zorg zoals deze leiden vaak niet onmiddellijk tot financiële fraude, maar gestolen medische en identiteitsgegevens kunnen maanden of jaren circuleren voordat ze worden misbruikt.

Voor alledaagse gebruikers gaan een paar praktische gewoonten een lange weg: controleer verzekeringsafschriften op onbekende claims, let op phishing-e-mails die verwijzen naar echte zorgaanbieders en gebruik unieke wachtwoorden voor zorgportalen. Bij het openen van gevoelige medische accounts op openbare of gedeelde netwerken voegt een VPN een beschermingslaag toe door je verbinding te versleutelen, hoewel het een datalek aan de kant van de aanbieder niet voorkomt. De echte verdediging tegen incidenten zoals het datalek bij OnePoint Patient Care moet komen van de organisaties die de data bezitten, niet alleen van de individuen wier data het is.

Belangrijkste punten

  • Controleer op datalekmeldingen als je recent gebruik hebt gemaakt van hospice-, apotheek- of aanverwante medische diensten, en lees ze zorgvuldig in plaats van ze vluchtig door te nemen.
  • Vraag periodiek een kopie van je medische dossiers en verzekeringsoverzichten (explanation-of-benefits) op om ongeoorloofde activiteit vroegtijdig op te merken.
  • Gebruik sterke, unieke inloggegevens op elk zorgportaal en schakel multi-factor-authenticatie in waar dit wordt aangeboden.
  • Behandel claims van ransomwaregroepen met voorzichtigheid maar niet met afwijzing; verificatie kost tijd, maar de onderliggende blootstelling is vaak reëel.
  • Blijf je ervan bewust dat veroordelingen zoals de strafoplegging van de Conti-affiliate aantonen dat verantwoordelijkheid mogelijk is, maar dat preventie nog steeds afhangt van de beveiligingspraktijken van de organisaties aan wie je je data toevertrouwt.