Et storbrudd i helseforsyningskjeden

McKesson, en av de største leverandørene i den medisinske forsyningskjeden i USA, har bekreftet et datainnbrudd som angivelig eksponerte 284 millioner pasientjournaler. Omfanget av denne hendelsen plasserer den blant de mer betydningsfulle helsedatainnbruddene som er avslørt i år, og den understreker hvor mye sensitiv personlig og medisinsk informasjon som strømmer gjennom selskapene som støtter sykehus og apotek bak kulissene.

I følge rapportering om hendelsen hevder trusselgruppen kjent som ShinyHunters ansvar for innbruddet, og påstår at de stjal omtrent 1 terabyte med data som inneholder 284 millioner rader med pasientinformasjon fra McKessons Snowflake-baserte skydata-miljø. Gruppen krevde angivelig omtrent 55 millioner dollar fra McKesson i forbindelse med de stjålne dataene. McKesson avslørte cybersikkerhetshendelsen i en Form 8-K-innlevering til U.S. Securities and Exchange Commission, et påkrevd steg for børsnoterte selskaper som står overfor vesentlige sikkerhetshendelser.

McKesson leverer legemidler og medisinske produkter til en stor andel av sykehus over hele landet, noe som betyr at de eksponerte dataene sannsynligvis berører et enormt tverrsnitt av pasienter som kanskje aldri har hatt direkte kontakt med selskapet selv. Det er et av de mer bekymringsfulle aspektene ved forsyningskjedebrudd: pasienter har ofte ingen direkte relasjon til organisasjonen som er rammet, men deres beskyttede helseopplysninger (PHI) og personopplysninger kan likevel ende opp kompromittert.

Hvorfor leverandører i forsyningskjeden er høyverdige mål

Helseforsyningsselskaper som McKesson befinner seg i skjæringspunktet mellom enorme mengder sensitive data og komplekse, sammenkoblede systemer. De behandler reseptoppføringer, pasientidentifikatorer og andre beskyttede helseopplysninger som en rutinemessig del av virksomheten med sykehus, klinikker og apotek over hele landet.

Dette innbruddet passer inn i et bredere mønster som helsesektoren har slitt med de siste årene. Angripere erkjenner i økende grad at tredjepartsleverandører og infrastrukturleverandører, ikke bare sykehusene selv, kan tilby et enkelt feilpunkt som eksponerer data som tilhører millioner av pasienter på tvers av mange ulike behandlingstilbydere. En lignende dynamikk utspilte seg i ChipSoft-løsepengevirusangrepet som eksponerte nederlandske pasientdata, der kompromitteringen av én programvareleverandør forplantet seg til å påvirke pasienter i et helt helsesystem. Når en leverandør som berører millioner av pasientjournaler kompromitteres, strekker konsekvensene seg langt utover den ene kundebasen.

Bruken av skydataplattformer som Snowflake i denne hendelsen er også bemerkelsesverdig. Etter hvert som helseorganisasjoner og deres leverandører i økende grad er avhengige av skybasert datavarehus for å håndtere massive datasett, blir sikring av disse miljøene, inkludert tilgangskontroller, overvåking og legitimasjonshåndtering, like kritisk som å sikre tradisjonelle lokale systemer.

Den menneskelige kostnaden bak tallene

Det er lett for et tall som 284 millioner journaler å føles abstrakt, men hver rad i det stjålne datasettet representerer sannsynligvis en virkelig persons resepthistorikk, medisinske detaljer eller personlige identifikatorer. Beskyttede helseopplysninger er spesielt verdifulle for kriminelle fordi de, i motsetning til et kredittkortnummer, ikke bare kan kanselleres og gjenutstedes. Stjålne medisinske data kan brukes til forsikringssvindel, målrettede phishing-kampanjer, identitetstyveri og utpressingsforsøk mot de berørte personene.

Helsebrudd har også operasjonelle risikoer utover dataeksponering. Diskusjoner på bransjearrangementer fokusert på sykehussybersikkerhet har fremhevet at når løsepengevirus eller store brudd rammer helseorganisasjoner, kan ettervirkningene strekke seg til pasientbehandlingen selv, ikke bare datapersonvern, som dekket i rapporteringen om den helsefokuserte Black Hat- og HIMSS-toppmøtet. Selv om McKesson-hendelsen primært er en dataeksponeringshendelse snarere enn en forstyrrelse av behandlingen, gjenspeiler den den samme underliggende sårbarheten: helsevesenets forsyningskjede er bare så sikker som sitt svakeste leverandørledd.

Hva dette betyr for deg

Hvis du noen gang har mottatt resepter eller medisinske produkter gjennom en leverandør som samarbeider med McKesson, og gitt selskapets størrelse, kan det inkludere en stor andel av amerikanske pasienter, er det verdt å behandle dette bruddet som en grunn til å være mer årvåken, selv før offisielle varsler ankommer. Hold øye med:

  • Forklaringer på ytelser (EOB) fra helseforsikringen din for tjenester eller resepter du ikke kjenner igjen
  • Uventede samtaler, tekstmeldinger eller e-poster som refererer til din medisinske historie eller resepter, som kan være phishing-forsøk ved bruk av stjålne data
  • Varsler fra McKesson eller din helseleverandør om bruddet, og eventuelle tilbud om kredittovervåking eller identitetsbeskyttelsestjenester
  • Kredittrapportene dine, siden PHI ofte kombineres med andre identifiserende detaljer som kan brukes til identitetstyveri

McKesson har ennå ikke bekreftet det fulle omfanget eller nøyaktigheten av ShinyHunters' påstander, og detaljer kan endre seg etter hvert som etterforskningen fortsetter. Likevel, gitt det enorme antallet journaler som angivelig er involvert, bør pasienter berørt av dette McKesson-datainnbruddet anta en viss eksponering av personopplysninger inntil mer konkret veiledning gis.

Viktige punkter

McKesson-datainnbruddet er en påminnelse om at personvernrisikoer i helsevesenet strekker seg godt utenfor sykehusenes og klinikkenes vegger, inn i leverandørene og skyplattformene som stille håndterer pasientdata i stor skala. Gjennomgå eventuelle bruddvarsler du mottar nøye, overvåk dine medisinske og finansielle kontoer for uvanlig aktivitet, og vurder å fryse kreditten din hvis du mistenker at informasjonen din var en del av denne eksponeringen. Etter hvert som etterforskningen av denne hendelsen fortsetter, er det å holde seg informert gjennom verifiserte oppdateringer fra McKesson og tilsynsmyndigheter den beste måten å beskytte deg selv i etterkant.