Naruszenie danych Asahi Kasei Therapeutics to wyraźny przykład tego, jak jedna strona internetowa prowadzona przez dostawcę może ujawnić cały katalog zawodowy. Według doniesień Japan Cyber Watch, atakujący włamali się do Pharma DIGITAL, strony prowadzonej przez dostawcę w imieniu Asahi Kasei Therapeutics dla lekarzy w Japonii. Ujawnione dane obejmują nazwiska, miejsca pracy i specjalizacje 514 000 osób.
Dostępne dotychczas szczegóły są ograniczone, a ten artykuł trzyma się tego, co zostało zgłoszone. Mimo to skala i rodzaj涉及 danych wystarczą, by sprawa była warta zrozumienia, szczególnie dla każdego, kto ma konto na portalu zawodowym lub farmaceutycznym.
Co zostało ujawnione w naruszeniu Pharma DIGITAL
Zgodnie z raportem źródłowym, dotknięte rekordy należą do 514 000 pracowników ochrony zdrowia w Japonii. Ujawnione informacje obejmują trzy kategorie:
- Nazwiska
- Miejsca pracy
- Specjalizacje medyczne
W doniesieniach nie wspomina się o hasłach, danych finansowych ani rekordach pacjentów w związku z tym incydentem i nie mamy podstaw, by twierdzić, że były one involved. To rozróżnienie ma znaczenie. To nie jest wyciek akt medycznych. To wyciek informacji o tym, kim są ludzie, gdzie pracują i czym się zajmują.
Może to brzmieć błaho w porównaniu z naruszeniem danych płatniczych. W praktyce jednak zweryfikowana lista specjalistów wraz z ich pracodawcami i specjalizacjami jest cennym zasobem dla każdego, kto planuje kontaktować się z tymi osobami pod fałszywym pretekstem.
Jak portal prowadzony przez dostawcę stał się słabym punktem
Pharma DIGITAL nie była obsługiwana bezpośrednio przez Asahi Kasei Therapeutics. Była to strona prowadzona przez dostawcę, obsługująca odbiorców firmy wśród lekarzy. To powszechny układ: firmy farmaceutyczne często polegają na zewnętrznych dostawcach w zakresie hostowania portali informacyjnych, systemów rejestracji i narzędzi komunikacji dla specjalistów medycznych.
Kompromis polega na tym, że dane trafiają do systemu, którego firma nie kontroluje w pełni na co dzień. Bezpieczeństwo zależy od aktualizacji, kontroli dostępu i monitoringu dostawcy, a odwiedzający lub rejestrujący się nie ma łatwego sposobu, by sprawdzić, jak dobrze są one prowadzone. Gdy atakujący dostaną się do takiej strony, marka na drzwiach wejściowych należy do jednej organizacji, podczas gdy porażka leży po stronie innej.
Dla osób posiadających konta praktyczna lekcja jest taka, że nazwa firmy, której ufasz, to tylko część obrazu. Dane, które przekazujesz, mogą być przechowywane przez łańcuch dostawców. Warto również pamiętać o szerszej presji cyberprzestępczej na japońskie organizacje, a nasze omówienie podejrzanego o ransomware Qilin aresztowanego w Japonii daje przydatny kontekst, choć ta sprawa jest odrębna i nie jest zgłaszana jako powiązana z tym naruszeniem.
Dlaczego wyciekłe dane zawodowe umożliwiają ukierunkowany phishing
Ogólny phishing opiera się na ilości i szczęściu. Ukierunkowany phishing opiera się na wiarygodności. Wiadomość, która zwraca się do lekarza po imieniu, wspomina szpital lub klinikę, w której pracuje, i odnosi się do jego specjalizacji, wygląda znacznie bardziej legitnie niż masowy e-mail o zablokowanym koncie.
Dzięki danym rzekomo ujawnionym w tym przypadku atakujący mógłby tworzyć wiadomości takie jak:
- Fałszywe powiadomienie od firmy farmaceutycznej o nowym produkcie istotnym dla konkretnej specjalizacji
- Fałszywe zaproszenie na seminarium medyczne lub webinar z linkiem do logowania
- Wiadomość podszywająca się pod administratora szpitala lub dział IT
- Fałszywa prośba o weryfikację danych konta na portalu, którego odbiorca już używa
To przykłady, jak takie dane mogą być wykorzystane w niewłaściwy sposób, a nie doniesienia o atakach, które miały miejsce. Pracownicy ochrony zdrowia są również zajęci i przyzwyczajeni do otrzymywania komunikacji branżowej, co sprawia, że wiarygodna wiadomość łatwiej skłania do działania bez drugiego spojrzenia.
Co to oznacza dla Ciebie
Jeśli jesteś pracownikiem ochrony zdrowia w Japonii i korzystałeś z Pharma DIGITAL, uważaj na oficjalne powiadomienia od Asahi Kasei Therapeutics lub dostawcy i postępuj zgodnie z ich instrukcjami. Zakładaj, że Twoje nazwisko, miejsce pracy i specjalizacja mogą być w obiegu.
Jeśli nie pracujesz w ochronie zdrowia, lekcja nadal obowiązuje. Każdy katalog, portal newslettera lub strona rejestracyjna prowadzona przez osobę trzecią może przechowywać Twój profil, który sam w sobie jest cenny. Nie musisz stracić hasła, by naruszenie Cię dotknęło.
Jak dotknięci specjaliści mogą ograniczyć swoje narażenie
Nie możesz cofnąć danych, które zostały już ujawnione, ale możesz zmniejszyć szansę, że zostaną wykorzystane przeciwko Tobie:
- Sprawdzaj powiadomienia o naruszeniu. Przeczytaj uważnie każdy e-mail lub list od firmy czy dostawcy i potwierdź go przez oficjalny kanał, a nie przez link w wiadomości.
- Bądź sceptyczny wobec wiadomości powołujących się na Twoje miejsce pracy lub specjalizację. Dane osobowe nie są już dowodem na autentyczność nadawcy.
- Nie korzystaj z linków ani załączników z nieoczekiwanych wiadomości. Wejdź bezpośrednio na znaną stronę lub zadzwoń na numer, któremu już ufasz.
- Używaj unikalnych haseł dla każdego portalu. Jeśli używasz ponownie hasła z portalu zawodowego gdzie indziej, zmień je i korzystaj z menedżera haseł.
- Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane, szczególnie dla poczty e-mail i kont służbowych.
- Poinformuj swój zespół IT lub bezpieczeństwa o podejrzanych wiadomościach, aby ostrzec współpracowników.
Najważniejsze wnioski
Naruszenie danych Asahi Kasei Therapeutics pokazuje, że ekspozycja firmy jest tak silna, jak bezpieczeństwo jej dostawców, a nazwiska, miejsca pracy i specjalizacje mogą wystarczyć do przeprowadzenia przekonujących oszustw. Przejrzyj każde otrzymane powiadomienie, podchodź ostrożnie do nieoczekiwanych wiadomości wspominających Twoją pracę i wzmocnij podstawy na kontach, które posiadasz na portalach zawodowych. Aby uzyskać szerszy kontekst dotyczący cyberprzestępczości wymierzonej w japońskie organizacje, przeczytaj nasz raport o aresztowaniu za ransomware Qilin w Japonii.
