Vermont: Datalek bij gezondheidsproducten treft 48.000 inwoners

Procureur-generaal van Vermont bevestigt datalek dat tienduizenden treft

De procureur-generaal van Vermont heeft aangekondigd dat een datalek bij een bedrijf in gezondheidsproducten de persoonlijke gegevens van meer dan 48.000 inwoners van de staat in gevaar heeft gebracht. Volgens de aankondiging vond het incident plaats in juni, en het betrokken bedrijf is in de openbaarmaking van de staat niet bij naam genoemd. Hoewel de tot nu toe vrijgegeven details beperkt zijn, herinnert de omvang van het lek, dat een aanzienlijk deel van de bevolking van Vermont treft, eraan hoeveel gevoelige informatie stroomt door bedrijven die naast het zorgsysteem opereren maar niet altijd bekende namen zijn.

Dit soort openbaarmakingen wordt steeds gebruikelijker. Staten zoals Vermont vereisen dat bedrijven het kantoor van de procureur-generaal op de hoogte stellen wanneer de gegevens van inwoners zijn blootgesteld, wat vaak de manier is waarop het publiek überhaupt over deze incidenten hoort. Het bedrijf zelf haalt zelden de krantenkoppen totdat een toezichthouder of waakhond ingrijpt.

Waarom gezondheidsgerelateerde bedrijven aantrekkelijke doelwitten zijn

Bedrijven in gezondheidsproducten, waaronder bedrijven die duurzame medische apparatuur, benodigdheden of wellnessproducten verkopen, verzamelen vaak een verrassende hoeveelheid gevoelige gegevens: namen, adressen, geboortedata, verzekeringsgegevens en soms klinische informatie die verband houdt met de medische behoeften van een klant. Die combinatie maakt deze bedrijven waardevolle doelwitten voor aanvallers, zelfs wanneer het bedrijf zelf geen ziekenhuis of verzekeraar is.

Een belangrijk probleem is dat veel van deze bedrijven buiten de strikte grenzen van HIPAA vallen, de federale wet die de meeste mensen associëren met medische privacy. HIPAA geldt over het algemeen voor zorgverleners, verzekeraars en hun directe zakenpartners. Bedrijven die gezondheidsgerelateerde producten verkopen maar geen klinische zorg verlenen, kunnen in een grijs gebied terechtkomen: ze verzamelen gezondheidsgerelateerde gegevens zonder aan dezelfde wettelijke normen te worden gehouden als een ziekenhuis of kliniek. Die kloof betekent dat de vereisten voor melding van datalekken en beveiliging aanzienlijk kunnen variëren afhankelijk van de staatswet, zoals die van Vermont, in plaats van één federale norm.

Het bredere patroon achter deze datalekken

Dit incident past in een grotere trend waarbij aanvallers zich richten op bedrijven die waardevolle persoonlijke gegevens verwerken maar mogelijk niet over de beveiligingsmiddelen beschikken van grotere zorg- of financiële instellingen. Ransomwaregroepen zijn met name steeds geavanceerder geworden in de manier waarop ze bedrijfsnetwerken infiltreren en erin blijven. Sommige zijn zelfs overgeschakeld op gedecentraliseerde infrastructuur om hun activiteiten draaiende te houden na pogingen tot uitschakeling, zoals te zien is bij DeadLock-ransomware die blockchain van Polygon gebruikt om uitschakeling te omzeilen.

Aanvallers maken ook steeds vaker misbruik van dezelfde tools die organisaties gebruiken om externe toegang te beveiligen. Beveiligingsonderzoekers hebben ransomwarebendes gedocumenteerd die zich richten op VPN-kwetsbaarheden in veelgebruikte enterprise-producten, die ze gebruiken als toegangspunt tot bedrijfssystemen. Onjuist geconfigureerde systemen en blootgestelde databases blijven een veelvoorkomend thema bij veel datalekken, niet anders dan de blootstelling die te zien was bij het FTF Live Kibana-lek dat miljoenen sessierecords blootlegde, dat liet zien hoe een enkele verkeerd geconfigureerde dashboard enorme hoeveelheden gebruikersgegevens in gevaar kan brengen. Geen van deze voorbeelden is bevestigd als oorzaak van het datalek in Vermont, maar ze illustreren het scala aan tactieken dat aanvallers nu gebruiken tegen organisaties van elke omvang.

Wat dit voor u betekent

Als u een melding heeft ontvangen, of denkt dat u getroffen bent omdat u gezondheidsproducten of benodigdheden hebt gekocht bij een bedrijf dat later een datalek bekendmaakte, behandel de melding dan serieus, zelfs als niet elk detail wordt vermeld. Gezondheidsgerelateerde gegevens, waaronder verzekeringsinformatie en medische geschiedenis, kunnen worden gebruikt voor gerichte phishing, verzekeringsfraude of identiteitsdiefstal die moeilijker te detecteren is dan een eenvoudig gestolen creditcardnummer.

Begin met het zorgvuldig doornemen van eventuele meldingsbrieven over het datalek en controleer uw zorgverzekeringsoverzichten op onbekende claims. Overweeg om een fraudewaarschuwing of kredietbevriezing in te stellen bij de grote kredietbureaus als financiële of verzekeringsgegevens betrokken waren. Het gebruik van een wachtwoordbeheerder, zoals Dashlane, kan u helpen unieke, sterke wachtwoorden te onderhouden voor gezondheids- en winkelaccounts, waardoor het risico afneemt dat één gelekt wachtwoord andere accounts opent. Als u regelmatig online zoekt naar gezondheidsaandoeningen of -producten, kan het gebruik van een VPN ook een extra laag privacy bieden door het voor derden moeilijker te maken uw surfgedrag aan uw identiteit te koppelen.

Praktische conclusies

• Let op officiële meldingsbrieven over datalekken en lees ze zorgvuldig, zelfs als de details beperkt zijn.
• Controleer verzekeringsoverzichten en medische rekeningen op onbekende activiteiten.
• Bevries uw krediet of stel fraudewaarschuwingen in als gevoelige persoonlijke gegevens zijn blootgesteld.
• Gebruik een wachtwoordbeheerder om het hergebruik van inloggegevens bij gezondheidsgerelateerde accounts te voorkomen.
• Overweeg een VPN bij het onderzoeken van gezondheidsonderwerpen of het online winkelen voor medische producten.

Datalekken zoals deze onderstrepen een eenvoudige waarheid: uw gezondheidsgegevens hoeven niet via een ziekenhuis te lopen om waardevol te zijn voor aanvallers. Nu steeds meer bedrijven in de gezondheidsproductensector persoonlijke informatie verzamelen en opslaan, blijven waakzaamheid voor meldingen van datalekken en het toepassen van basis digitale hygiëne een van de meest effectieve manieren om uzelf te beschermen.