Legemiddelgiganten Amgen har bekreftet et datainnbrudd som avslørte både pasienthelseinformasjon og proprietære selskapsdata, noe som vekker ny bekymring om Amgen-datainnbruddets konsekvenser for pasientpersonvernet for personene hvis opplysninger var involvert. Selskapet opplyser at hendelsen startet i skylagringssystemer, og at de nå varsler berørte individer, selv om flere sentrale detaljer – blant annet om løsepengevirus ble brukt eller om det er fremsatt krav om løsepenger – fortsatt er ubekreftet.
Hva skjedde i Amgen-datainnbruddet
Ifølge tilgjengelige detaljer fikk trusselaktører tilgang til skybaserte lagringssystemer knyttet til Amgens virksomhet og stakk av med en blanding av sensitive data: beskyttet helseinformasjon (PHI) tilhørende pasienter, sammen med proprietær selskapsinformasjon. Amgen har påbegynt prosessen med å varsle de berørte, et skritt som kreves under regelverket for varsling av helsedatainnbrudd når et selskap bekrefter at personlige helsedata er kompromittert.
Det som ennå ikke er klart, og som etterforskerne fortsatt prøver å fastslå, er om angriperne brukte løsepengevirus som en del av inntrengningen, eller om Amgen har mottatt et krav om løsepenger eller utpressing knyttet til de stjålne dataene. Dette er kritiske, åpne spørsmål. En ren datatyverihendelse og en løsepenge-drevet utpresningskampanje innebærer ulik risiko for både selskapet og pasientene hvis informasjon ble tatt – særlig med tanke på om stjålne data vil bli lekket offentlig, solgt eller holdt tilbake for betaling.
Hvorfor helsedatainnbrudd utsetter pasienter for større risiko
Helseinnbrudd har en tendens til å medføre konsekvenser som varer lenger enn ved et typisk bedriftsdatainnbrudd. Finansielle kontonumre kan avbrytes og erstattes i løpet av dager. Medisinske journaler, diagnoser, resepthistorikk og annen PHI kan ikke bare nullstilles. Når den informasjonen først er avslørt, forblir den avslørt, og den kan brukes mot pasienter i årevis på måter som er vanskeligere å oppdage enn et falskt kredittkortgebyr.
Det er nettopp det som gjør helsetjenesteorganisasjoner til så attraktive mål. PHI inneholder ofte nok informasjon (navn, fødselsdatoer, forsikringsdetaljer, medisinsk historie) til å muliggjøre identitetstyveri, forsikringssvindel og målrettede phishing-svindler som viser til pasientens faktiske helsetilstander for å fremstå troverdige. Kombiner det med proprietære selskapsdata, som kan inkludere forskning, klinisk studieinformasjon eller interne forretningsdokumenter, og ett enkelt innbrudd kan skape risiko på flere fronter samtidig: pasientvern på den ene siden, selskaps- og forskningsintegritet på den andre.
Helsesektoren har også blitt et hyppig mål nettopp på grunn av denne doble verdien, og fordi mange tilbydere og deres leverandører støtter seg på komplekse, sammenkoblede skysystemer som utvider den potensielle angrepsflaten. Etter hvert som organisasjoner i økende grad integrerer automatiserte verktøy og AI-drevne systemer i infrastrukturen sin, har angripere vist at de kan utnytte svakheter i disse nyere teknologiene like lett som i eldre. Et ferskt eksempel, nærmere beskrevet i vår dekning av en AI-agent som brøt seg inn i Hugging Face via et zero-day-sikkerhetshull, illustrerer hvor raskt angripere kan vende seg til å utnytte selve automatiseringen og skyverktøyene organisasjoner er avhengige av.
Hvordan VPN-er og kryptering passer inn i helsedatasikkerhet
Selv om ingen enkeltverktøy forhindrer et innbrudd på organisasjonsnivå, er kryptering og sikre tilkoblinger grunnleggende for å begrense skader når systemer blir kompromittert. Data som er kryptert både i ro og under overføring er langt mindre verdifulle for angripere, selv om de klarer å eksfiltrere dem. For helseorganisasjoner betyr dette å kryptere lagret PHI i skysystemer og sørge for at data som flyttes mellom interne systemer, leverandører og skyleverandører går over krypterte, autentiserte kanaler.
For enkeltpasienter og ansatte som fjernaksesserer helseportaler eller bedriftssystemer, legger VPN-er og krypterte tilkoblinger til et lag med beskyttelse mot avlytting på usikrede nettverk, spesielt når de får tilgang til sensitive helseportaler fra offentlige Wi-Fi eller personlige enheter. De er ingen erstatning for organisasjonens egne sikkerhetspraksiser, men de reduserer risikoen for at data blir fanget opp under overføring – én del av et mye større sikkerhetsbilde som inkluderer tilgangskontroller, overvåking og beredskapsplanlegging.
Hva dette betyr for deg
Hvis du har mottatt, eller kan komme til å motta, et varsel om innbrudd fra Amgen, bør du ta det på alvor selv før alle detaljer om hendelsen er bekreftet. Begynn med å gjennomgå eventuelle varslingsbrev nøye for å få spesifikke opplysninger om hvilke data som var involvert. Overvåk forsikringsutskrifter og oppgjørsdokumenter for ukjente krav – et vanlig tegn på medisinsk identitetstyveri. Vurder å opprette et svindelvarsel eller kredittfrys hos de store kredittopplysningsbyråene, siden stjålet PHI ofte er pakket med nok personlige detaljer til å åpne falske kontoer. Vær på vakt mot eventuelle oppfølgingsmeldinger som hevder å være fra Amgen eller deres samarbeidspartnere, spesielt de som ber deg klikke på lenker eller oppgi ytterligere personlig informasjon – slike innbruddsvarsler blir ofte utnyttet av svindlere som driver sekundære phishing-kampanjer.
Det fulle omfanget av Amgen-datainnbruddet, inkludert om løsepengevirus spilte en rolle eller om utpressingskrav har blitt fremsatt, kan ta tid å få klarhet i. I mellomtiden har pasienter som er berørt av hendelsen praktiske grep de kan ta for å begrense eksponeringen: overvåke kontoer, fryse kreditt der det er hensiktsmessig, og være oppmerksom på mistenkelig kommunikasjon. Helseorganisasjoner vil fortsette å være høyverdige mål for angripere, men informerte, proaktive pasienter er langt bedre rustet til å oppdage og begrense konsekvensene når slike innbrudd skjer.
