Stewart Home & School-datalek: 3.677 dossiers verloren door diefstal van inloggegevens
Een ransomware-incident bij Stewart Home & School heeft de preventie van ransomware door diefstal van zorginloggegevens opnieuw in de schijnwerpers gezet, en de werking van dit specifieke datalek is de moeite waard om nauwkeurig te onderzoeken. Gestolen inloggegevens gaven een dreigingsactor toegang tot twee interne schijven. Gegevens werden benaderd, uit de omgeving gekopieerd en vervolgens versleuteld, waardoor tot 3.677 personen werden getroffen van wie persoonlijke, financiële en beschermde gezondheidsinformatie op die schijven stond. De volgorde is bijna schoolvoorbeeld, maar dat is precies wat het zo leerzaam maakt.
Hoe gestolen inloggegevens de deur openden voor ransomware bij Stewart Home & School
De aanval bij Stewart Home & School volgde een patroon dat beveiligingsonderzoekers hebben gedocumenteerd in honderden gezondheidszorgincidenten: een aanvaller verkrijgt geldige inloggegevens, gebruikt deze om normaal te authenticeren, beweegt zich lateraal om gevoelige gegevensopslag te lokaliseren, exfiltreert een kopie van die gegevens en zet vervolgens ransomware in om te versleutelen wat overblijft. Elke stap bouwt voort op de vorige.
Wat inbraken op basis van inloggegevens bijzonder schadelijk maakt, is dat de aanvaller er vanuit het perspectief van het netwerk uitziet als een legitieme gebruiker. Perimeterverdedigingen, firewalls en basis-antivirusprogramma's zijn niet ontworpen om geauthenticeerde sessies te signaleren. Tegen de tijd dat de versleuteling begint, zijn de gegevens al verdwenen. De ransomware is bijna een bijkomstige gebeurtenis, een pressietactiek die bovenop een reeds geslaagde exfiltratie wordt gelegd.
Daarom is het eerste compromitteren van inloggegevens het meest kritieke punt in de hele keten. Stop het daar, en geen van de verdere schade gebeurt.
Welke gegevens werden blootgesteld en wie loopt er risico
Het datalek betrof persoonlijke informatie, financiële informatie en beschermde gezondheidsinformatie (PHI), een combinatie die een samengesteld risico creëert voor de getroffen personen. PHI valt onder HIPAA, wat betekent dat getroffen organisaties te maken krijgen met regelgevingsrisico's bovenop de directe schade voor individuen. Financiële gegevens in hetzelfde lek verhogen het risico op identiteitsfraude en frauduleuze accountactiviteiten aanzienlijk.
Met 3.677 personen die mogelijk getroffen zijn, is de omvang aanzienlijk voor één instelling. Bewoners, studenten en mogelijk personeelsleden van Stewart Home & School, een zorginstelling voor mensen met ontwikkelingsstoornissen, vormen een bijzonder kwetsbare populatie. Velen hebben mogelijk beperkte mogelijkheden om zelf hun krediet te bewaken of onafhankelijk op fraude-alerts te reageren, waardoor extra verantwoordelijkheid bij de instelling en bij mantelzorgers komt te liggen.
Dit soort datalek eindigt niet wanneer de ransomware is geneutraliseerd. De geëxfiltreerde gegevens blijven bestaan en individuen lopen nog maanden of jaren risico terwijl gestolen dossiers via secundaire markten circuleren.
Waarom gezondheidszorgomgevingen bijzonder kwetsbaar zijn voor op inloggegevens gebaseerde aanvallen
Omgevingen in de gezondheidszorg en zorginstellingen hebben structurele kwetsbaarheden die de preventie van ransomware door diefstal van inloggegevens moeilijker maken dan in andere sectoren. Het personeelsverloop is hoog, wat betekent dat credential hygiene, inclusief het tijdig uitschakelen van accounts van vertrokken medewerkers, voortdurend onder druk staat. Gedeelde werkstations komen veel voor in klinische en residentiële zorgomgevingen, wat zowel wachtwoordbeheer als verantwoording compliceert wanneer inloggegevens worden misbruikt.
Externe toegang is ook aanzienlijk uitgebreid in zorgomgevingen, en niet altijd met voldoende controles. Personeel dat inlogt vanaf persoonlijke apparaten of thuisnetwerken doet dit vaak zonder de bescherming van een VPN of multi-factorauthenticatie, waardoor inloggegevens blootstaan aan phishing, infostealer-malware en netwerkonderschepping.
De parallel met andere sectoren is het vermelden waard. Een eerdere zaak waarbij ManageMyHealth bijna 100.000 patiëntendossiers blootstelde ondanks voorafgaande waarschuwingen, illustreert dat inloggegevens- en toegangsfouten in de gezondheidszorg zelden eenmalige verrassingen zijn. Ze weerspiegelen vaak systemische hiaten die niet worden aangepakt tot een datalek de kwestie forceert. Evenzo hebben overheidssystemen te maken gehad met vergelijkbare verantwoordingshiaten toen bekende kwetsbaarheden gedurende langere tijd niet werden gepatcht.
Zorgorganisaties gebruiken ook vaak verouderde systemen die niet zijn ontworpen met moderne authenticatie-eisen in het achterhoofd. Het inbouwen van multi-factorauthenticatie op oudere infrastructuur is technisch haalbaar, maar vereist budget, planning en opleiding van personeel die veel kleinere instellingen moeilijk prioriteit kunnen geven.
Hoe zorgmedewerkers toegang kunnen blokkeren en de datalek-keten kunnen stoppen
Het datalek bij Stewart Home & School biedt een duidelijk startpunt voor elke zorgorganisatie die haar eigen blootstelling onderzoekt. De interventie vereist geen geavanceerde technologie. Het vereist een gedisciplineerde implementatie van controles die al goed bekend zijn.
Verplicht multi-factorauthenticatie voor alle externe toegang. Een gestolen wachtwoord is niet genoeg om te authenticeren als een tweede factor vereist is. Deze enkele controle breekt de meest voorkomende aanvalsketen van diefstal van inloggegevens.
Vereis VPN-gebruik voor alle externe verbindingen met interne schijven en klinische systemen. Werknemers die vanuit huis of gedeelde netwerken verbinding maken, moeten via een versleutelde tunnel gaan. Dit vermindert het aanvalsoppervlak voor het onderscheppen van inloggegevens en beperkt wat een geauthenticeerde aanvaller kan bereiken.
Controleer en ontmantel accounts regelmatig. Ongebruikte of accounts van voormalige medewerkers zijn een terugkerend toegangspunt. Een driemaandelijkse beoordeling van actieve inloggegevens, afgestemd op huidige personeelslijsten, vermindert het risico dat verweesde accounts worden misbruikt aanzienlijk.
Segmenteer interne schijven en pas het principe van minste bevoegdheden toe. Niet elke geauthenticeerde gebruiker heeft toegang tot elke schijf nodig. Toegang beperken tot wat elke rol werkelijk nodig heeft, betekent dat een enkel gecompromitteerd inloggegeven niet een volledige gegevensomgeving kan ontsluiten.
Controleer op afwijkend authenticatiegedrag. Log-ins op ongebruikelijke uren, vanaf onbekende IP-adressen of op meerdere systemen in snelle opeenvolging zijn waarschuwingssignalen. Geautomatiseerde meldingen over deze patronen kunnen inbraken aan het licht brengen voordat exfiltratie is voltooid.
Wat dit voor u betekent
Als u werkt in de leiding, IT of compliance van een zorginstelling, is het datalek bij Stewart Home & School een directe aansporing om uw eigen externe toegangsbeveiliging te controleren voordat een incident u daartoe dwingt. De hier beschreven volgorde van inloggegevenscompromis naar exfiltratie naar versleuteling is herhaalbaar en goed bekend bij dreigingsactoren. Het zal opnieuw gebeuren bij organisaties die de onderliggende toegangscontrolehiaten niet hebben aangepakt.
Bekijk de ManageMyHealth-datalekzaak als een parallelle casestudy: dat incident werd na een overheidsonderzoek aangemerkt als volledig te voorkomen, wat betekent dat de waarschuwingssignalen bestonden voordat er gegevens verloren gingen. Hetzelfde geldt vrijwel zeker voor organisaties die vandaag de dag werken zonder MFA, VPN-handhaving en regelmatige controle van inloggegevens. De controles zijn beschikbaar. De vraag is of ze op hun plaats zijn voordat het volgende gestolen wachtwoord een deur opent.
