Asahi Kasei Therapeutics-datainnbruddet er et tydelig eksempel på hvordan ett nettsted drevet av en leverandør kan eksponere en hel profesjonell katalog. Ifølge rapportering fra Japan Cyber Watch brøt angripere seg inn i Pharma DIGITAL, et nettsted drevet av en leverandør på vegne av Asahi Kasei Therapeutics for leger i Japan. De eksponerte dataene omfatter navn, arbeidsplasser og spesialiteter til 514 000 personer.
Detaljene som er tilgjengelige så langt er begrensede, og dette innlegget holder seg til det som er rapportert. Likevel er omfanget og typen data som er involvert nok til å gjøre saken verdt å forstå, spesielt for alle med en konto på en profesjonell portal eller farmasøytisk portal.
Hva ble eksponert i Pharma DIGITAL-innbruddet
Ifølge kildens rapport tilhører de berørte registreringene 514 000 helsepersonell i Japan. Informasjonen som ble eksponert omfatter tre kategorier:
- Navn
- Arbeidsplasser
- Medisinske spesialiteter
Rapporteringen nevner ikke passord, økonomiske detaljer eller pasientjournaler i forbindelse med denne hendelsen, og vi har ikke grunnlag for å si at de var involvert. Denne forskjellen er viktig. Dette er ikke en lekkasje av medisinske filer. Det er en lekkasje av hvem folk er, hvor de jobber og hva de gjør.
Det kan høres mindre alvorlig ut sammenlignet med et brudd på betalingsdata. I praksis er en verifisert liste over fagpersoner med deres arbeidsgivere og spesialiteter en nyttig ressurs for alle som planlegger å kontakte disse personene under falske påskudd.
Hvordan en leverandørdrevet portal ble det svake punktet
Pharma DIGITAL ble ikke drevet direkte av Asahi Kasei Therapeutics. Det var et leverandørdrevet nettsted som betjente selskapets målgruppe av leger. Dette er en vanlig ordning: farmasøytiske selskaper er ofte avhengige av eksterne leverandører for å drifte informasjonsportaler, registreringssystemer og kommunikasjonsverktøy for medisinsk personell.
Avveiningen er at dataene ender opp i et system som selskapet ikke har full kontroll over i det daglige. Sikkerheten avhenger av leverandørens oppdateringer, tilgangskontroller og overvåking, og en besøkende eller registrert bruker har ingen enkel måte å se hvor godt dette håndteres. Når angripere kommer seg inn på et slikt nettsted, tilhører merkevaren på forsiden én organisasjon, mens svikten ligger hos en annen.
For personer med kontoer er den praktiske lærdommen at navnet på selskapet du stoler på, bare er en del av bildet. Dataene du overlater, kan være i hendene på en kjede av leverandører. Det bredere cyberkriminalitetspresset mot japanske organisasjoner er også verdt å huske på, og vår dekning av Qilin-løsepengevirus-mistenkt arrestert i Japan gir nyttig kontekst, selv om den saken er en separat sak og ikke er rapportert å være knyttet til dette innbruddet.
Hvorfor lekket profesjonell informasjon muliggjør målrettet phishing
Generisk phishing er avhengig av volum og flaks. Målrettet phishing er avhengig av troverdighet. En melding som henvender seg til en lege ved navn, nevner sykehuset eller klinikken der de jobber, og refererer til deres spesialitet, virker langt mer legitim enn en masse-e-post om en låst konto.
Med dataene som angivelig er eksponert her, kan en angriper lage meldinger som:
- Et falskt varsel fra et farmasøytisk selskap om et nytt produkt relevant for en spesifikk spesialitet
- En falsk invitasjon til et medisinsk seminar eller webinar med en innloggingslenke
- En melding som utgir seg for å være fra en sykehusadministrator eller IT-avdeling
- En falsk forespørsel om å bekrefte kontodetaljer på en portal mottakeren allerede bruker
Dette er eksempler på hvordan slike data kan misbrukes, ikke rapporter om angrep som har skjedd. Helsearbeidere er også travle og vant til å motta bransjekommunikasjon, noe som gjør en troverdig melding enklere å handle på uten å se en gang til.
Hva dette betyr for deg
Hvis du er helsepersonell i Japan og har brukt Pharma DIGITAL, hold øye med offisielle varsler fra Asahi Kasei Therapeutics eller leverandøren og følg instruksjonene deres. Gå ut fra at navnet ditt, arbeidsplassen din og spesialiteten din kan være i omløp.
Hvis du ikke jobber i helsevesenet, gjelder lærdommen fortsatt. Enhver katalog, nyhetsbrevportal eller registreringsside drevet av en tredjepart kan inneholde en profil av deg som er verdifull i seg selv. Du trenger ikke å miste et passord for at et brudd skal påvirke deg.
Hvordan berørte fagpersoner kan begrense eksponeringen sin
Du kan ikke ta tilbake data som allerede er eksponert, men du kan redusere sjansen for at de brukes mot deg:
- Se etter varsler om datainnbrudd. Les nøye enhver e-post eller ethvert brev fra selskapet eller leverandøren, og bekreft det gjennom en offisiell kanal i stedet for en lenke i meldingen.
- Vær skeptisk til meldinger som nevner arbeidsplassen eller spesialiteten din. Personlige detaljer er ikke lenger bevis på at avsenderen er ekte.
- Ikke bruk lenker eller vedlegg fra uventede meldinger. Gå direkte til det kjente nettstedet eller ring et nummer du allerede stoler på.
- Bruk unike passord for hver portal. Hvis du gjenbruker et passord fra et profesjonelt nettsted andre steder, endre det og bruk en passordbehandler.
- Slå på flerfaktorautentisering der det tilbys, spesielt for e-post og jobbkontoer.
- Fortell IT- eller sikkerhetsteamet ditt om mistenkelige meldinger slik at kolleger kan bli advart.
Viktige punkter
Asahi Kasei Therapeutics-datainnbruddet viser at et selskaps eksponering bare er så sterk som leverandørenes sikkerhet, og at navn, arbeidsplasser og spesialiteter kan være nok til å drive overbevisende svindel. Gå gjennom ethvert varsel du mottar, behandle uventede meldinger som nevner jobben din med forsiktighet, og stram inn det grunnleggende på kontoer du har hos profesjonelle portaler. For bredere kontekst om cyberkriminalitet rettet mot japanske organisasjoner, les vår rapport om Qilin-løsepengevirus-arrestasjonen i Japan.
