Een kankerdiagnostiekgigant wordt het nieuwste doelwit van ShinyHunters

De afpersingsgroep ShinyHunters heeft een dataset gepubliceerd met ongeveer 10,9 miljoen e-mailadressen die gestolen zijn bij een groot kankerdiagnostiekbedrijf, nadat het zorgbedrijf naar verluidt weigerde losgeld te betalen. De gelekte gegevens omvatten persoonlijke informatie van patiënten, klanten en de door hen gebruikte zorgdiensten, wat nieuwe zorgen oproept over hoe gevoelige medische details op criminele fora terechtkomen. Beveiligingsonderzoekers hebben het datalek in verband gebracht met Exact Sciences, een aanbieder van kankerdiagnostiek, hoewel de exacte omvang van de getroffen personen nog wordt beoordeeld.

Wat dit incident opmerkelijk maakt, is niet alleen de omvang van het lek. Het is de methode die ShinyHunters gebruikte om binnen te komen: ze maakten geen misbruik van een softwarefout en braken niet door een firewall. Ze pakten de telefoon.

Hoe vishing van medewerkers onwetende handlangers maakte

Volgens de berichtgeving belde ShinyHunters medewerkers van het diagnostiekbedrijf en gebruikte social engineering, beter bekend als vishing (voice phishing), om personeel over te halen toegangsgegevens te verstrekken of accountwijzigingen goed te keuren. Eenmaal binnen konden de aanvallers een grote hoeveelheid data buitmaken voordat het bedrijf of het beveiligingsteam de indringing kon stoppen.

Dit is geen eenmalige tactiek voor de groep. ShinyHunters heeft hetzelfde draaiboek gebruikt bij andere grote organisaties. Bij het datalek bij ADT werden ongeveer 10 miljoen records blootgesteld nadat aanvallers vrijwel identieke social engineering gebruikten om medewerkers te verleiden toegang te verlenen, en het datalek bij Charter Communications trof 4,9 miljoen records via dezelfde methode. In beide gevallen lag de zwakte niet in een technische kwetsbaarheid maar in een menselijke: een medewerker aan de telefoon die geloofde met een legitiem persoon te spreken.

Dat patroon is van belang voor hoe organisaties over verdediging moeten nadenken. Vishing-aanvallen slagen omdat ze zich richten op vertrouwen en urgentie in plaats van op code. Een overtuigende beller die zich voordoet als IT-ondersteuning, leverancier of manager, komt vaak verder dan een geavanceerde exploit, vooral wanneer medewerkers niet zijn getraind om ongebruikelijke verzoeken via een tweede kanaal te verifiëren.

Wat er is blootgesteld en waarom het afpersingsaspect ertoe doet

De gedumpte dataset bevat naar verluidt ongeveer 10,9 miljoen unieke e-mailadressen samen met andere persoonlijke en gezondheidsgerelateerde informatie van patiënten en klanten van het diagnostiekbedrijf. Omdat het bedrijf kennelijk weigerde te betalen, heeft ShinyHunters de gegevens openbaar gemaakt in plaats van in stilte, een zet die de groep als straf heeft geframed, naar verluidt met de mededeling dat het bedrijf "het losgeld had moeten betalen".

Dit model van afpersing-gevolgd-door-lekken is het handelsmerk van ShinyHunters geworden. Het weerspiegelt wat er gebeurde na het datalek bij Zara, waarbij gestolen klantgegevens werden teruggevoerd naar dezelfde groep die via een gecompromitteerde externe leverancier opereerde. De gemene deler bij deze incidenten is dat aanvallers zelden rechtstreeks in de kernsystemen van een bedrijf hoeven in te breken. Ze vinden een makkelijker toegangspunt – of dat nu een leverancier, een callcentermedewerker of een supportdesk is – en gebruiken dat als bruggehoofd.

Voor datalekken in de zorgsector zijn de belangen groter dan bij een typisch retaillek. E-mailadressen in combinatie met diagnose- of behandelingsinformatie kunnen worden gebruikt voor gerichte phishing, verzekeringsfraude of simpelweg het openbaar maken van een gevoelige medische geschiedenis die mensen nooit openbaar hadden willen hebben.

Wat dit voor jou betekent

Als je ooit gebruik hebt gemaakt van diensten van een kankerdiagnostiekaanbieder, met name een die aan dit incident is gekoppeld, is het de moeite waard om te controleren of je e-mailadres voorkomt in datalekmeldingen en om te letten op ongebruikelijke accountactiviteit. Zelfs als jouw specifieke medische gegevens geen deel uitmaakten van de gelekte dataset, kan het feit dat je e-mailadres samen met de naam van een zorgaanbieder is blootgesteld je tot doelwit maken van phishingmails die zijn ontworpen om eruit te zien als officiële medische communicatie.

In bredere zin is dit datalek een herinnering dat gegevensbescherming niet alleen om firewalls en encryptie draait. Het gaat ook om hoe goed een organisatie haar personeel traint in het herkennen van social engineering. Bedrijven die gevoelige gezondheidsgegevens verwerken, zijn aantrekkelijke doelwitten, juist omdat die informatie langdurige waarde heeft en omdat één succesvol telefoontje toegang kan ontsluiten waarvoor jarenlang beveiliging is opgebouwd.

Concrete actiepunten

  • Controleer of je e-mailadres voorkomt in dit of gerelateerde datalekken met een betrouwbare datalekchecker en wijzig wachtwoorden op accounts die aan dat adres zijn gekoppeld.
  • Wees sceptisch over ongevraagde e-mails of telefoontjes die verwijzen naar medische afspraken, testresultaten of factureringsgegevens, vooral als ze je vragen op een link te klikken of persoonlijke informatie te bevestigen.
  • Schakel meervoudige authenticatie in op elk zorgportaal of patiëntenaccount dat je gebruikt, want dit beperkt de schade zelfs als inloggegevens worden gecompromitteerd.
  • Als je met organisaties omgaat die gevoelige gegevens verwerken, vraag dan welke verificatiestappen ze intern gebruiken voordat ze telefonisch accounttoegang verlenen, want weerbaarheid tegen vishing is vaak een kwestie van beleid en niet alleen van technologie.

Zoals het patroon van ShinyHunters laat zien, is het ShinyHunters-datalek bij de kankerdiagnostiek niet alleen een verhaal over het falen van één bedrijf. Het is een signaal dat social engineering nog steeds een van de meest effectieve wapens is in het arsenaal van hackers, en dat waakzaamheid van zowel organisaties als individuen nog steeds de beste beschikbare verdediging is.