En helsegigant blir med i utpressingsbølgen

McKesson, et av verdens største selskaper som håndterer helsedata, har avslørt et omfattende datainnbrudd etter at en utpressingsgruppe hevdet å ha stjålet hundrevis av millioner av poster fra selskapets sky-systemer. Ifølge avsløringen skal de stjålne dataene inkludere pasientidentifikatorer, medisinske detaljer, lege-pasient-meldinger, og til og med oppføringer knyttet til dødelig sykdom og dødsårsak. Angriperne skal angivelig ha fått tilgang ved å phishe ansattes enkeltpåloggings- (SSO) legitimasjon, og deretter krevd et løsepengebeløp på 55 millioner dollar. McKesson nektet å betale.

Omfanget og sensitiviteten til dataene som er involvert, gjør dette til en av de mer bekymringsfulle hendelsene i helsesektoren som har kommet frem i lyset i år. I motsetning til datainnbrudd som er begrenset til navn og kontonumre, berører dette angivelig de mest intime kategoriene av personlig informasjon: private medisinske kommunikasjoner og livssluttoppføringer. Denne forskjellen betyr enormt mye for personene hvis data ble eksponert, fordi denne typen informasjon ikke kan tilbakestilles som et passord eller erstattes som et kredittkort.

Hvorfor SSO-phishing fortsatt fungerer

Angrepsmetoden beskrevet i denne hendelsen – å phishe ansattes enkeltpåloggings-innlogginger for å nå sky-systemer – er ikke en ny teknikk, men den er fortsatt ødeleggende effektiv. SSO-systemer er designet for å forenkle tilgang ved å la ett sett med legitimasjon låse opp flere interne verktøy og sky-plattformer. Den bekvemmeligheten er nettopp det som gjør dem til attraktive mål: et enkelt vellykket phishing-forsøk mot én ansatt kan potensielt åpne døren til systemer som inneholder hundrevis av millioner av poster.

Dette mønsteret med legitimasjonstyveri som inngangspunkt er ikke unikt for løsepenge-gjenger. Statsknyttede aktører har brukt lignende taktikker for å nå sensitive systemer, som sett i nyere rapportering om påstander om at vestlig malware målrettet russiske tjenestemenns telefoner og i Singapores advarsel om statsknyttede APT-angrep på nasjonal infrastruktur. Enten angriperen er en kriminell utpressingsgruppe eller en statssponset enhet, er den underliggende svakheten ofte den samme: én enkelt kompromittert påloggingsinformasjon kan kaskadere inn i en massiv dataeksponering.

Personvernets innsats i medisinsk datatyveri

Det som skiller denne hendelsen fra typiske bedriftsdatainnbrudd, er naturen til dataene som angivelig er tatt. Finansiell informasjon kan overvåkes og fryses. Medisinske detaljer, lege-pasient-samtaler og oppføringer som dokumenterer dødelig sykdom eller dødsårsak, kan ikke endres eller utstedes på nytt. Hvis disse oppføringene virkelig ble eksfiltrert i det omfanget som er hevdet, står de berørte personene overfor en langsiktig personverneksponering som ikke har noen enkel løsning.

Det er også spørsmålet om pressmiddel. Løsepengekrav bygget rundt medisinske og livssluttdata er spesielt tvangsbaserte, siden trusselen ikke bare er økonomisk tap, men også potensiell offentlig eksponering av noen av de mest private øyeblikkene i en persons liv eller en families sorg. McKessons beslutning om ikke å betale kravet på 55 millioner dollar følger et mønster som mange sikkerhetseksperter og rettshåndhevelsesbyråer anbefaler, siden betaling ikke garanterer sletting av data og kan oppmuntre til ytterligere angrep. Men å nekte å betale betyr også at de stjålne dataene fortsatt kan dukke opp offentlig eller bli solgt, noe som etterlater berørte personer uten mye kontroll over hva som skjer videre.

Hva dette betyr for deg

Hvis du noen gang har hatt interaksjon med McKessons helsenettverk, enten som pasient, leverandør eller partnerorganisasjon, er dette datainnbruddet en påminnelse om at medisinske datalekkasjer har konsekvenser langt utover en typisk passordtilbakestilling. Følg med på offisielle varsler om datainnbrudd, som ofte er påkrevd ved lov når personlig helseinformasjon er involvert, og ta enhver kommunikasjon fra McKesson eller tilknyttede helseleverandører på alvor.

Mer generelt understreker denne hendelsen hvor mye moderne databeskyttelse avhenger av forsvarsmekanismer på ansattnivå som phishing-bevissthet og flerfaktorautentisering, siden én enkelt stjålet SSO-innlogging angivelig var nok til å eksponere oppføringer knyttet til noen av de mest sensitive delene av folks medisinske historier.

Konkrete tiltak du kan ta

  • Følg med på offisielle varsler om datainnbrudd fra McKesson eller en hvilken som helst tilknyttet helseleverandør, og les dem nøye i stedet for å avfeie dem som rutine.
  • Vær oppmerksom på phishing-forsøk som refererer til dette datainnbruddet; angripere utnytter ofte nyhetsdekning av store hendelser for å starte oppfølgingssvindler.
  • Hvis du mottar tilbud om identitetsbeskyttelse eller kredittovervåking knyttet til dette datainnbruddet, bør du vurdere å melde deg på, men verifiser at tilbudet kommer direkte fra McKesson eller en verifisert partner.
  • Bruk unike, sterke passord og aktiver flerfaktorautentisering på alle helseportal-kontoer du kontrollerer, siden legitimasjonstyveri fortsatt er det vanligste inngangspunktet i hendelser som denne.
  • Hold deg informert om hvordan helseorganisasjoner responderer på storskala utpressingsforsøk, siden utfallet av denne saken kan påvirke hvordan andre selskaper håndterer lignende løsepengekrav i fremtiden.

McKesson-datainnbruddet er et tydelig eksempel på hvordan phishing av ett enkelt sett med påloggingsinformasjon kan eksponere dypt personlig medisinsk informasjon i enorm skala. Etter hvert som flere slike hendelser dukker opp, er det å være årvåken overfor varsler om datainnbrudd og praktisere sterk kontosikkerhet fortsatt de mest praktiske forsvarsmekanismene som er tilgjengelige for enkeltpersoner.