Helseteknologiselskap bekrefter utvidet uautorisert tilgang
CareCloud, et selskap som leverer elektroniske helsejournaltjenester til helsepersonell, har begynt å formelt varsle hundretusener av pasienter om at medisinske data ble stjålet i et innbrudd tidligere i år. Ifølge selskapet hadde hackere tilgang til ett av deres datalagre for elektroniske helsejournaler i minst seks dager, mellom 10. og 16. mars, før inntrengningen ble oppdaget og stanset.
Varselet kommer måneder etter selve hendelsen, et tidsgap som er vanlig ved helsesektorinnbrudd fordi selskapene vanligvis trenger tid til å undersøke omfanget av den uautoriserte tilgangen, samarbeide med digitale etterforskere og forberede juridiske varsler før de kontakter de berørte. For pasientene betyr imidlertid denne forsinkelsen at personlige helseopplysninger kan ha sirkulert eller vært i faresonen over lengre tid før de i det hele tatt fikk beskjed.
En uvanlig vri: En hacker som delte bevis
Det som skiller denne hendelsen fra mange andre helsedatainnbrudd, er hvordan angriperen henvendte seg til CareCloud. Selskapet opplyste at en hacker påtok seg ansvaret for inntrengningen og, bemerkelsesverdig nok, delte prøver av de stjålne dataene direkte med selskapet sammen med et løsepengekrav for å hindre at informasjonen ble publisert på nett. Å dele dataprøver som pressmiddel er ikke bransjestandard for løsepenge- eller utpressingsaktører, som oftere truer med å offentliggjøre stjålne filer uten å tilby bevis på forhånd. Denne detaljen kan tyde på at angriperen raskt ønsket å etablere troverdighet, sannsynligvis for å presse CareCloud til å betale fremfor å risikere langvarige forhandlinger.
Til tross for dette har ingen kjent løsepengegruppe eller utpressingsgjeng offentlig tatt på seg ansvaret for innbruddet. Slik tvetydighet er ikke uvanlig i dagens trussellandskap, der enkeltaktører, mindre grupper eller tilknyttede som opererer utenfor anerkjente ransomware-merkevarer i stadig større grad gjennomfører angrep uten å påberope seg dem på lekkasjesidene som vanligvis brukes av større cyberkriminelle operasjoner. Fraværet av et navngitt krav reduserer ikke nødvendigvis alvorlighetsgraden av eksponeringen – det gjør bare sporing og overvåking vanskeligere for etterforskere og berørte pasienter.
Denne varslingsprosessen følger en tidligere kunngjøring i år der CareCloud bekreftet at hackere hadde fått tilgang til pasientjournaler knyttet til den samme større sikkerhetshendelsen. Utsendelsen av varsler til hundretusener av enkeltpersoner representerer neste fase i denne offentliggjøringsprosessen, etter hvert som selskapet kartlegger nøyaktig hvem sine data som ble berørt og hvilke kategorier informasjon som ble eksponert.
Hvorfor helsedatainnbrudd medfører uforholdsmessig stor risiko
Elektroniske helsejournaler inneholder vanligvis en blanding av svært sensitiv informasjon: navn, fødselsdatoer, personnummer, forsikringsdetaljer, diagnose- og behandlingshistorikk og noen ganger fakturerings- eller finansdata. I motsetning til et kompromittert passord kan ikke denne typen informasjon bare tilbakestilles. Medisinsk identitetstyveri, forsikringssvindel og målrettede phishing-kampanjer er alle realistiske utfall når slike data havner i feil hender, og konsekvensene kan vise seg måneder eller til og med år etter det opprinnelige innbruddet.
Leverandører av helseteknologi som CareCloud befinner seg i en spesielt sårbar posisjon fordi de behandler og lagrer data på vegne av flere helseorganisasjoner. Det betyr at ett enkelt innbrudd hos en leverandør kan ramme pasienter hos mange ulike klinikker og sykehussystemer som aldri direkte har hatt kontakt med det kompromitterte selskapet. Som tidligere rapportert har omfanget av CareClouds eksponering påvirket millioner av pasientjournaler på tvers av kundebasen, noe som understreker hvor konsentrert risikoen blir når så mye helsedata flyter gjennom et lite antall teknologileverandører.
Hva dette betyr for deg
Dersom du har mottatt, eller senere mottar, et varslingsbrev fra CareCloud, bør du ta det på alvor selv om språket virker rutinepreget. Les brevet nøye for å forstå nøyaktig hvilke kategorier av din informasjon som har vært involvert, siden ikke alle varslede personer har fått de samme dataene eksponert. Hvis personnummer eller forsikringsidentifikatorer inngår, bør du vurdere å sette et svindelvarsel eller en kredittfastfrysning hos de største kredittopplysningsbyråene. Følg nøye med på forsikringsutskrifter og medisinske regninger for tjenester du ikke kjenner igjen – medisinsk identitetstyveri kan være vanskeligere å oppdage enn tradisjonell økonomisk svindel. Vær på vakt mot oppfølgings-e-poster, samtaler eller tekstmeldinger som utgir seg for å være fra CareCloud eller din helseaktør og ber deg bekrefte personopplysninger, ettersom varsler om datainnbrudd ofte utnyttes av svindlere som driver phishing-kampanjer.
Viktige punkter
CareClouds varslingsprosess er en påminnelse om at helsedatainnbrudd ofte utspiller seg i etapper, der den opprinnelige inntrengningen, etterforskningen og den endelige varslingen er atskilt av måneder. Pasienter som er berørt av denne hendelsen bør lese varslingsbrevene nøye, melde seg på eventuell tilbudt kredittovervåking og være årvåkne for mistenkelig kommunikasjon som refererer til deres medisinske historikk eller forsikringsopplysninger. Etter hvert som helseorganisasjoner fortsetter å basere seg på tredjeparts teknologileverandører for å håndtere sensitive journaler, viser hendelser som denne hvorfor årvåkenhet fra både selskaper og pasienter forblir avgjørende lenge etter at et innbrudd først oppdages.
