Een handmatige intrusie die vertrouwde op gestolen inloggegevens, niet op malware, staat centraal in het verhaal over het Oracle Health-datalek met patiëntgegevens. Volgens een rapport van beveiligingsbedrijf Rescana heeft de aanval op de systemen van Oracle Health (voorheen Cerner) naar verluidt bijna 20 miljoen patiëntrecords blootgesteld in ongeveer 80 Amerikaanse ziekenhuizen. De details zijn een nuttige herinnering dat een geldige gebruikersnaam en wachtwoord gevaarlijker kunnen zijn dan een exploit.

Dit artikel bespreekt wat er naar verluidt is weggenomen, hoe de aanvaller binnenkwam, en de praktische stappen die patiënten en gewone gebruikers nu kunnen nemen.

Welke gegevens zijn blootgesteld in het Oracle Health-datalek

Volgens het rapport van Rescana heeft de aanvaller grote hoeveelheden elektronische beschermde gezondheidsinformatie (ePHI) geëxfiltreerd. De genoemde categorieën zijn:

  • Namen
  • Burgerservicenummers (Social Security numbers)
  • Medische dossiernummers
  • Diagnoses en medicatie
  • Testresultaten
  • Medische beelden
  • Namen van artsen

Die combinatie is belangrijk. Een Social Security-nummer alleen is al een ernstig probleem, maar in combinatie met diagnoses, medicatie en de naam van een behandelend arts geeft het een crimineel een gedetailleerd profiel. Gezondheidsgegevens kunnen niet opnieuw worden uitgegeven zoals een creditcardnummer, dus het risico kan jaren aanhouden.

De gestolen gegevens werden naar verluidt gebruikt in een afpersingspoging, waarbij de aanvaller losgeld eiste. Voor de bredere omvang van het incident, zie onze eerdere berichtgeving: Oracle Health-datalek trof naar verluidt 20 miljoen mensen. Het cijfer komt uit berichtgeving en niet uit één bevestigde telling, dus behandel het exacte aantal met enige voorzichtigheid.

Hoe gestolen inloggegevens de verdediging omzeilden zonder malware

Een van de meest opvallende bevindingen is wat onderzoekers niet zagen. Volgens het rapport is er geen bewijs van malware-implementatie, ransomware of geautomatiseerde tools. De aanval was handmatig en vertrouwde uitsluitend op diefstal van inloggegevens en directe toegang tot de servers.

Daarom is dit soort intrusie moeilijk te detecteren. Beveiligingstools zoeken vaak naar kwaadaardige bestanden, ongebruikelijke processen of bekende aanvalspatronen. Iemand die inlogt met echte inloggegevens ziet er op het eerste gezicht uit als een geautoriseerde gebruiker. Firewalls en andere perimeterverdedigingen zijn gebouwd om buitenstaanders buiten te houden, maar ze hebben weinig te zeggen over iemand die binnenkomt met een geldige sleutel.

Het patroon is niet uniek voor de gezondheidszorg. Andere recente incidenten in onze berichtgeving wijzen op hetzelfde thema van toegang als de zwakke schakel, waaronder het Novo Nordisk-datalek gekoppeld aan misbruikte GitHub-tokens. Verschillende bedrijven, verschillende details, maar de rode draad is dat gestolen toegangsmateriaal deuren kan openen waarvan technische verdedigingen aannemen dat ze gesloten zijn.

Voor organisaties zijn de lessen bekend: handhaaf multi-factor authenticatie op elk extern en administratief pad, ontmantel legacy-systemen of isoleer ze zorgvuldig, monitor op ongebruikelijke logins, en beperk wat elk afzonderlijk account kan bereiken. Kennisgevingen van sommige ziekenhuizen beschrijven de getroffen omgeving als legacy Cerner-systemen, wat onderstreept waarom oudere infrastructuur extra aandacht verdient.

Wat getroffen patiënten nu moeten doen

Als uw ziekenhuis of zorgverlener Oracle Health- of Cerner-systemen gebruikt, ontvangt u mogelijk een kennisgeving per post of e-mail. Hier is een verstandige volgorde van handelen.

  1. Lees een datalek-kennisgeving zorgvuldig. Deze moet uitleggen wat er is weggenomen en biedt mogelijk gratis kredietmonitoring of identiteitsbescherming aan. Maak er gebruik van als het wordt aangeboden.
  2. Controleer of kennisgevingen echt zijn. Oplichters maken vaak misbruik van nieuws over datalekken. Neem contact op met uw zorgverlener via een telefoonnummer van de officiële website, niet via een onverwacht bericht.
  3. Blokkeer uw krediet. Een blokkade bij de drie grote kredietbureaus is gratis en blokkeert de meeste pogingen om nieuwe accounts op uw naam te openen. U kunt deze tijdelijk opheffen wanneer u krediet nodig heeft.
  4. Controleer uw verzekeringsafschriften. Kijk naar verklaringen van uitkeringen voor diensten die u niet heeft ontvangen. Medische identiteitsdiefstal kan daar als eerste zichtbaar worden.
  5. Let op berichten in afpersingsstijl. Als een onbekende verwijst naar uw diagnose of medicatie, betaal niet en antwoord niet. Meld het bij uw zorgverlener en overweeg het te melden bij de autoriteiten.

Uw gezondheidsportaal- en accountlogins beveiligen

Aangezien inloggegevens in dit geval het toegangspunt waren, is het de moeite waard uw eigen logins te versterken, vooral voor patiëntportalen, e-mail en alles wat aan verzekeringen is gekoppeld.

  • Gebruik een uniek wachtwoord voor elk account. Een wachtwoordmanager maakt dit realistisch. Hergebruik is wat van één lek vele maakt.
  • Schakel multi-factor authenticatie in. Een authenticator-app of hardwarematige sleutel is sterker dan sms-codes waar beschikbaar.
  • Beveilig eerst uw e-mail. Uw inbox is het resetpad voor bijna al het andere.
  • Wees voorzichtig met phishing. E-mails en sms'jes met een datalek-thema proberen u vaak een login te laten "verifiëren". Ga rechtstreeks naar de site.
  • Vermijd openbare wifi voor gevoelige logins, of gebruik een betrouwbare VPN als het echt nodig is. Een VPN beschermt verkeer onderweg, maar zou een datalek op de servers van een zorgverlener niet hebben voorkomen.

De gezondheidszorg is herhaaldelijk een doelwit geweest. Onze berichtgeving over aan ShinyHunters gekoppelde aanvallen met betrekking tot Abbott en NAIC laat zien hoe afpersingsgroepen gevoelige gezondheidsgerelateerde gegevens in de hele sector najagen.

Wat dit voor u betekent

U kunt niet bepalen hoe de leverancier van een ziekenhuis uw gegevens opslaat, maar u kunt de schade beperken als ze lekken. Het kernidee is om gestolen gegevens minder bruikbaar te maken: blokkeer uw krediet zodat uw Social Security-nummer niet gemakkelijk nieuwe accounts kan openen, en gebruik unieke wachtwoorden met MFA zodat één gestolen login geen andere kan ontgrendelen. Blijf alert op berichten die uw gezondheidsgegevens noemen, want afpersing en phishing volgen vaak op datalekken zoals deze.

Belangrijkste punten

  • De gemelde Oracle Health-intrusie was handmatig en gedreven door inloggegevens, zonder bewijs van malware of ransomware.
  • Blootgestelde gegevens omvatten naar verluidt SSN's, diagnoses, medicatie, testresultaten en medische beelden.
  • Controleer elke datalek-kennisgeving, blokkeer uw krediet en monitor verzekeringsafschriften.
  • Gebruik unieke wachtwoorden en MFA op portalen en e-mail.

Voor het grotere geheel over het verhaal van het Oracle Health-datalek met patiëntgegevens, lees onze berichtgeving over het cijfer van 20 miljoen personen, en neem dan vandaag een paar minuten om uw eigen accounts te beveiligen.