Farmaceutyczny gigant Amgen potwierdził wyciek danych, który ujawnił zarówno chronione informacje zdrowotne (PHI), jak i zastrzeżone dane korporacyjne, budząc nowe obawy o konsekwencje dla prywatności pacjentów, których dokumentacja została objęta incydentem. Firma poinformowała, że źródłem zdarzenia były systemy przechowywania w chmurze i obecnie powiadamia osoby poszkodowane, choć kilka kluczowych szczegółów – w tym czy użyto ransomware lub czy zażądano okupu – pozostaje niepotwierdzonych.

Co wydarzyło się w wycieku danych w Amgen

Według dostępnych informacji, sprawcy uzyskali dostęp do systemów przechowywania danych w chmurze powiązanych z działalnością Amgen i wykradli mieszane zbiory wrażliwych danych: chronione informacje zdrowotne (PHI) należące do pacjentów oraz zastrzeżone dane firmowe. Amgen rozpoczął proces powiadamiania osób dotkniętych incydentem – krok wymagany przepisami o ujawnianiu naruszeń danych zdrowotnych po potwierdzeniu, że dane osobowe dotyczące zdrowia zostały skompromitowane.

Nie jest jeszcze jasne – a śledczy wciąż to ustalają – czy atakujący wykorzystali ransomware jako część włamania, ani czy Amgen otrzymał żądanie okupu lub próbę wymuszenia związaną ze skradzionymi danymi. To kluczowe pytania otwarte. Zwykła kradzież danych a kampania wymuszenia oparta na ransomware niosą ze sobą różne ryzyko zarówno dla firmy, jak i dla pacjentów, których informacje przechwycono, zwłaszcza w kwestii tego, czy skradzione dane zostaną upublicznione, sprzedane czy przetrzymywane dla okupu.

Dlaczego wycieki danych medycznych narażają pacjentów na większe ryzyko

Naruszenia w sektorze opieki zdrowotnej zwykle mają konsekwencje trwające dłużej niż typowy incydent danych korporacyjnych. Numery kont finansowych można anulować i ponownie wydać w ciągu kilku dni. Dokumentacja medyczna, diagnozy, historia recept i inne PHI nie dadzą się po prostu zresetować. Gdy te informacje zostaną ujawnione, pozostają ujawnione i mogą być wykorzystywane przeciwko pacjentom przez lata w sposób trudniejszy do wykrycia niż fałszywa transakcja kartą kredytową.

To właśnie sprawia, że organizacje opieki zdrowotnej są tak atrakcyjnymi celami. PHI często zawierają wystarczająco dużo informacji (imiona i nazwiska, daty urodzenia, dane ubezpieczeniowe, historię medyczną), aby umożliwić kradzież tożsamości, oszustwa ubezpieczeniowe i ukierunkowane ataki phishingowe, które odwołują się do rzeczywistych schorzeń pacjenta, by uwiarygodnić przekaz. Jeśli dodać do tego zastrzeżone dane firmowe, które mogą obejmować badania, informacje o próbach klinicznych czy wewnętrzną dokumentację biznesową, pojedynczy wyciek może stwarzać ryzyko na wielu frontach jednocześnie: z jednej strony prywatność pacjentów, z drugiej – integralność korporacyjna i badawcza.

Sektor ochrony zdrowia stał się też częstym celem właśnie z powodu tej podwójnej wartości oraz dlatego, że wielu świadczeniodawców i ich dostawców opiera się na złożonych, połączonych systemach chmurowych, które poszerzają potencjalną powierzchnię ataku. W miarę jak organizacje coraz szerzej włączają zautomatyzowane narzędzia i systemy oparte na sztucznej inteligencji do swojej infrastruktury, atakujący pokazują, że potrafią wykorzystywać słabości tych nowszych technologii równie łatwo co starszych. Niedawny przykład, szczegółowo opisany w naszym materiale o agencie AI, który włamał się do Hugging Face przez lukę zero-day, pokazuje, jak szybko napastnicy potrafią zwrócić się ku wykorzystaniu właśnie tych narzędzi automatyzacji i chmury, na których polegają organizacje.

Jak VPN-y i szyfrowanie wpisują się w bezpieczeństwo danych medycznych

Choć żadne pojedyncze narzędzie nie zapobiegnie wyciekowi na poziomie organizacyjnym, szyfrowanie i bezpieczne połączenia pozostają fundamentem ograniczania szkód w momencie, gdy systemy zostaną skompromitowane. Dane zaszyfrowane zarówno w spoczynku, jak i podczas przesyłania są znacznie mniej przydatne dla atakujących, nawet jeśli uda im się je wykraść. Dla organizacji ochrony zdrowia oznacza to szyfrowanie przechowywanych PHI w systemach chmurowych oraz zapewnienie, że dane przesyłane między systemami wewnętrznymi, dostawcami a dostawcami chmury podróżują przez szyfrowane, uwierzytelnione kanały.

Dla indywidualnych pacjentów i pracowników uzyskujących zdalny dostęp do portali medycznych lub systemów firmowych, VPN-y i połączenia szyfrowane dodają warstwę ochrony przed przechwyceniem w niezabezpieczonych sieciach, zwłaszcza przy dostępie do wrażliwych portali zdrowotnych z publicznych sieci Wi-Fi lub urządzeń prywatnych. Nie zastępują one własnych praktyk bezpieczeństwa organizacji, ale zmniejszają ryzyko przechwycenia danych w tranzycie – to jeden z elementów znacznie szerszego obrazu bezpieczeństwa, który obejmuje kontrolę dostępu, monitorowanie i planowanie reagowania na incydenty.

Co to oznacza dla Ciebie

Jeśli otrzymałeś lub możesz otrzymać powiadomienie o naruszeniu od Amgen, potraktuj je poważnie, nawet zanim wszystkie szczegóły incydentu zostaną potwierdzone. Zacznij od uważnego przeczytania listu powiadamiającego pod kątem szczegółów dotyczących tego, jakie dane zostały objęte incydentem. Monitoruj swoje zestawienia ubezpieczeniowe i dokumenty EOB (wyjaśnienie świadczeń) pod kątem nieznanych roszczeń – to częsty znak kradzieży tożsamości medycznej. Rozważ ustanowienie alertu o oszustwie lub zamrożenie kredytu w głównych biurach kredytowych, ponieważ skradzione PHI często zawierają wystarczająco dużo danych osobowych, aby otworzyć fałszywe konta. Zachowaj ostrożność wobec wszelkich dalszych wiadomości rzekomo pochodzących od Amgen lub jego partnerów, zwłaszcza tych proszących o klikanie linków lub podawanie dodatkowych danych osobowych – powiadomienia o naruszeniach są często wykorzystywane przez oszustów prowadzących wtórne kampanie phishingowe.

Pełny zakres wycieku danych w Amgen, w tym to, czy ransomware odegrało rolę lub czy pojawiły się żądania wymuszenia, może wymagać czasu, aby się wyjaśnić. W międzyczasie pacjenci dotknięci incydentem mają praktyczne kroki, które mogą podjąć, by ograniczyć swoją ekspozycję: monitorowanie kont, zamrożenie kredytu tam, gdzie to stosowne, oraz zachowanie czujności na podejrzane wiadomości. Organizacje ochrony zdrowia pozostaną cennymi celami dla atakujących, ale poinformowani, proaktywni pacjenci są znacznie lepiej przygotowani, aby wychwycić i ograniczyć skutki, gdy dochodzi do takich wycieków jak ten.