En kreftdiagnostikk-gigant blir ShinyHunters' siste mål

Utpressingsgruppen ShinyHunters har publisert et datasett med omtrent 10,9 millioner e-postadresser stjålet fra en stor kreftdiagnostikk-virksomhet, etter at helseselskapet angivelig nektet å betale løsepenger. De lekke dataene inneholder personopplysninger knyttet til pasienter, kunder og helsetjenestene de brukte, noe som vekker ny bekymring for hvordan sensitive medisinske detaljer ender opp i omløp på kriminelle forum. Sikkerhetsforskere har knyttet datainnbruddet til Exact Sciences, en leverandør av kreftdiagnostikk, men det nøyaktige omfanget av berørte personer er fortsatt under vurdering.

Det som gjør denne hendelsen bemerkelsesverdig er ikke bare størrelsen på lekkasjen. Det er metoden ShinyHunters brukte for å komme seg inn i utgangspunktet: de utnyttet ikke en programvarefeil eller brøt seg gjennom en brannmur. De tok telefonen.

Hvordan vishing gjorde ansatte til uvitende medskyldige

Ifølge rapporteringen ringte ShinyHunters ansatte i diagnostikkselskapet og brukte sosial manipulering, ofte kalt vishing (voice phishing), for å overbevise de ansatte om å oppgi tilgangslegitimasjon eller godkjenne kontoendringer. Når de først var inne, klarte angriperne å hente ut store mengder data før selskapet eller sikkerhetsteamet kunne stanse inntrengingen.

Dette er ikke en engangstaktikk for gruppen. ShinyHunters har brukt samme modus operandi mot andre store organisasjoner. ADT-datainnbruddet eksponerte omtrent 10 millioner oppføringer etter at angriperne brukte nesten identisk sosial manipulering for å lure ansatte til å gi tilgang, og Charter Communications-datainnbruddet rammet 4,9 millioner oppføringer gjennom samme metode. I begge tilfeller var svakheten ikke en teknisk sårbarhet, men en menneskelig en: en ansatt på telefonen som trodde de snakket med noen legitim.

Dette mønsteret har betydning for hvordan organisasjoner bør tenke om forsvar. Vishing-angrep lykkes fordi de angriper tillit og tidsnød fremfor kode. En overbevisende innringer som utgir seg for å være IT-support, en leverandør eller en leder kan ofte komme lengre enn et sofistikert angrep, særlig når ansatte ikke er opplært til å verifisere uvanlige forespørsler gjennom en annen kanal.

Hva som ble eksponert, og hvorfor utpressingsvinklingen er viktig

Det dumpede datasettet inneholder angivelig rundt 10,9 millioner unike e-postadresser sammen med annen personlig og helserelatert informasjon knyttet til pasienter og kunder hos diagnostikkvirksomheten. Fordi selskapet ser ut til å ha nektet å betale, publiserte ShinyHunters dataene offentlig i stedet for i stillhet – et grep gruppen har fremstilt som straff, og angivelig uttalt at selskapet «burde ha betalt løsepengene».

Denne modellen med utpressing etterfulgt av lekkasje har blitt ShinyHunters' signatur. Den speiler det som skjedde etter Zara-datainnbruddet, der stjålne kundedata ble knyttet tilbake til den samme gruppen som opererte gjennom et kompromittert tredjepartsleverandørforhold. Den fellesnevneren på tvers av disse hendelsene er at angripere sjelden trenger å bryte seg direkte inn i et selskaps kjernesystemer. De finner et enklere inngangspunkt, enten det er en leverandør, en ansatt på et kundesenter eller en supportdisk, og bruker det som fotfeste.

For brudd i tilknytning til helsesektoren spesifikt er innsatsen høyere enn ved en typisk detaljhandelslekkasje. E-postadresser kombinert med diagnostikk- eller behandlingsinformasjon kan brukes til målrettet phishing, forsikringssvindel, eller rett og slett eksponering av sensitiv sykehistorie som folk aldri forventet skulle bli offentlig.

Hva dette betyr for deg

Hvis du noen gang har brukt tjenester fra en kreftdiagnostikk-leverandør, særlig en knyttet til denne hendelsen, er det verdt å sjekke om e-postadressen din dukker opp i varslingstjenester for datainnbrudd og å se etter uvanlig kontoaktivitet. Selv om dine spesifikke helseopplysninger ikke var en del av det lekke datasettet, kan det å få e-posten din eksponert sammen med navnet på en helsetjenesteleverandør gjøre deg til et mål for phishing-e-poster designet for å se ut som offisielle medisinske kommunikasjoner.

Mer generelt er dette datainnbruddet en påminnelse om at databeskyttelse ikke bare handler om brannmurer og kryptering. Det handler også om hvor godt en organisasjon trener sine ansatte i å gjenkjenne sosial manipulering. Selskaper som håndterer sensitive helsedata er attraktive mål nettopp fordi informasjonen har langsiktig verdi, og fordi én enkelt vellykket telefonsamtale kan låse opp tilgang som det tok år å bygge sikkerhet rundt.

Praktiske råd

  • Sjekk om e-postadressen din har dukket opp i dette eller relaterte datainnbrudd ved hjelp av en anerkjent tjeneste for innbruddssjekk, og bytt passord på alle kontoer knyttet til den adressen.
  • Vær skeptisk til uønskede e-poster eller telefoner som refererer til medisinske avtaler, prøvesvar eller faktureringsdetaljer, særlig hvis de ber deg klikke på en lenke eller bekrefte personopplysninger.
  • Aktiver tofaktorautentisering på alle helseportaler eller pasientkontoer du bruker, siden dette reduserer skaden selv om legitimasjonen kompromitteres.
  • Hvis du samhandler med organisasjoner som håndterer sensitive data, spør hvilke interne verifiseringstrinn de bruker før de gir kontotilgang over telefon, siden motstand mot vishing ofte handler om retningslinjer, ikke bare teknologi.

Slik ShinyHunters' mønster viser, er ikke ShinyHunters' kreftdiagnostikk-datainnbrudd bare en historie om ett enkelt selskaps svikt. Det er et signal om at sosial manipulering forblir et av de mest effektive verktøyene i en hackers arsenal, og at årvåkenhet fra både organisasjoner og enkeltpersoner fortsatt er det beste forsvaret som finnes.