Quest Diagnostics har fortalt tilsynsmyndighetene at en uautorisert part fikk tilgang til ett av selskapets systemer, og at «visse pasientjournaler» kan være berørt. Opplysningen, som ble gitt i en offentlig reguleringsinnberetning og rapportert av SecurityWeek, gjelder Quanum Lab Services Manager, en plattform der visse kunder kan legge inn testbestillinger. Detaljene er fortsatt begrensede, men saken om Quest Diagnostics-databrudd og pasientjournaler gir allerede nyttige lærdommer for alle som noen gang har tatt blodprøver eller andre laboratorietester i USA.

Hva Quest opplyste om Quanum-bruddet

Ifølge kildereportasjen rapporterte Quest Diagnostics uautorisert tilgang til Quanum Lab Services Manager i en reguleringsinnberetning. Plattformen brukes av visse kunder, det vil si helseleverandører og lignende organisasjoner, til å legge inn bestillinger på laboratorietester. Det er ikke en forbrukerrettet app som de fleste pasienter logger seg inn på selv.

Selskapet sa at det mener visse pasientjournaler var involvert. Dekningen av innberetningen indikerer også at det fulle omfanget fortsatt er under etterforskning. Noen innlegg i sosiale medier som sirkulerer om hendelsen, fremsetter bredere påstander, blant annet om hvilke datatyper som ble eksponert. Siden selve innberetningen bare er beskrevet i generelle vendinger, bør disse påstandene behandles med forsiktighet til Quest eller tilsynsmyndighetene publiserer flere detaljer.

Det vi med sikkerhet kan si, er begrenset: en kundevendt bestillingsplattform ble tilgått uten autorisasjon, visse pasientjournaler antas å være berørt, og etterforskningen pågår. Lesere bør forvente at bildet endrer seg etter hvert som selskapet får mer kunnskap.

Hvorfor plattformer for laboratoriebestillinger er et svakt punkt i helsepersonvernet

De fleste tenker på et laboratorium som én enkelt organisasjon. I praksis involverer en test en kjede av parter: legekontoret ditt, laboratoriet, faktureringssystemer og programvaren som kobler dem sammen. Portaler som Quanum finnes for at eksterne kunder skal kunne sende bestillinger og motta informasjon, noe som betyr at de per design inneholder pasientdetaljer og er tilgjengelige for mange brukere fra mange steder.

Den kombinasjonen skaper risiko. Hver tilkoblede kunde er nok et sett med legitimasjon, enheter og ansatte som kan være et mål. Et system bygget for bekvemmelighet på tvers av mange organisasjoner er også et verdifullt enkelt tilgangspunkt for en angriper. Du har kanskje aldri hørt om plattformen, men journalene dine kan likevel passere gjennom den bare fordi en leverandør valgte et bestemt laboratorium.

Dette er også grunnen til at pasienter ofte får vite om et brudd på omveier. Organisasjonen du forholdt deg direkte til, er kanskje ikke den som ble kompromittert, så varsler kan komme fra et selskap du ikke kjenner igjen.

Hva dette betyr for deg

Hvis du har brukt Quest Diagnostics, direkte eller gjennom en lege, er det praktiske budskapet å være årvåken fremfor å få panikk. Ikke alle pasienter er berørt, og selskapet har ikke publisert en fullstendig liste over eksponerte data.

Her er hva du bør gjøre nå:

  • Følg med på post og e-post for å finne et varselbrev. Organisasjoner som opplever et brudd som påvirker personopplysninger, forventes vanligvis å varsle de involverte. Les eventuelt varsel nøye og ta vare på en kopi.
  • Vurder en kredittsperre. En sperre er gratis og begrenser muligheten for at noen åpner ny kreditt i ditt navn. Det er en fornuftig forholdsregel hvis et varsel sier at identifiserende opplysninger var involvert.
  • Vær skeptisk til uventede meldinger om helsen din. Tekstmeldinger, telefonsamtaler eller e-poster som nevner laboratorieresultater, fakturering eller «verifisering av journalene dine», kan være phishingforsøk. Kontakt Quest eller leverandøren din via et telefonnummer eller nettsted du finner selv, ikke et som er oppgitt i meldingen.
  • Gå gjennom kontoene og kontoutskriftene dine. Sjekk aktivitet i bank, forsikring og helseportaler for noe ukjent, og rapporter problemer raskt.
  • Styrk innloggingene dine. Bruk unike passord og flerfaktorautentisering på pasientportaler, e-post og finansielle kontoer.

Hvordan stjålne helsedata brukes etter et brudd

Medisinsk informasjon er attraktiv fordi den kombinerer identifiseringsopplysninger med sensitiv kontekst. Kriminelle kan bruke den til å lage overbevisende phishingmeldinger som refererer til en reell leverandør eller en reell test, noe som gjør folk mer tilbøyelige til å klikke eller dele mer informasjon. Identifiseringsopplysninger kan også brukes i forsøk på svindel.

Det finnes en annen bruk som har blitt vanligere: press. Stjålne journaler kan holdes over en organisasjon som brekkstang, der angripere truer med å publisere dem med mindre krav oppfylles. Vår forklaring om hvordan omdømme ble våpenet i løsepengevirus og datautpressing dekker hvorfor stjålne data har blitt et forhandlingsmiddel. Kildereportasjen om Quest sier ikke at utpressing er involvert her, så dette er kontekst og ikke en påstand om denne hendelsen.

Det er også verdt å merke seg at råd etter et brudd kan variere etter hva som ble tatt. I en urelatert sak rådet et gjestfrihetsselskap berørte gjester til å fysisk erstatte passene og førerkortene sine etter at identitetsdokumenter ble eksponert. Det selskapet er ikke knyttet til Quest Diagnostics, men eksempelet viser hvorfor de spesifikke datatypene som er oppført i varselet ditt, betyr mer enn overskriften.

Viktige punkter

Opplysningene om Quest Diagnostics-databrudd og pasientjournaler er fortsatt under utvikling, og det nøyaktige antallet berørte personer og hvilke datatyper som er berørt, er ennå ikke offentlig. Inntil de er det, dekker noen få vaner det meste av risikoen:

  1. Se etter et varselbrev om brudd, og les det nøye.
  2. Sperr kreditten din hvis varselet nevner identifiserende informasjon.
  3. Behandle uventede meldinger om helse eller fakturering som mistenkelige, og verifiser gjennom offisielle kanaler.
  4. Slå på flerfaktorautentisering for nøkkelkontoene dine.

For å forstå hvorfor stjålne journaler kan ha betydning lenge etter de første overskriftene, les vår artikkel om løsepengevirus og datautpressing, og bruk deretter ti minutter i dag på å sikre kreditten og kontoene dine.