Firma technologii medycznej potwierdza przedłużony nieautoryzowany dostęp

CareCloud, firma świadcząca usługi elektronicznej dokumentacji medycznej dla placówek opieki zdrowotnej, rozpoczęła formalne powiadamianie setek tysięcy pacjentów, że ich dane medyczne zostały skradzione w wyniku włamania, do którego doszło na początku tego roku. Według firmy, hakerzy mieli dostęp do jednego z jej magazynów danych elektronicznej dokumentacji medycznej przez co najmniej sześć dni – od 10 do 16 marca – zanim włamanie zostało wykryte i powstrzymane.

Powiadomienie pojawia się miesiące po samym incydencie – opóźnienie typowe dla naruszeń w sektorze opieki zdrowotnej, ponieważ firmy zazwyczaj potrzebują czasu na zbadanie zakresu nieautoryzowanego dostępu, współpracę ze śledczymi kryminalistycznymi i przygotowanie wymaganych prawnie powiadomień, zanim skontaktują się z osobami dotkniętymi naruszeniem. Dla pacjentów to opóźnienie oznacza jednak, że ich dane dotyczące zdrowia mogły krążyć lub być narażone na ryzyko przez długi czas, zanim w ogóle się o tym dowiedzieli.

Nietypowy zwrot akcji: haker, który udostępnił dowody

To, co wyróżnia to zdarzenie spośród wielu innych naruszeń w opiece zdrowotnej, to sposób, w jaki atakujący zwrócił się do CareCloud. Firma podała, że haker przyznał się do włamania i – co istotne – udostępnił firmie próbki skradzionych danych wraz z żądaniem okupu, mającym zapobiec opublikowaniu informacji w Internecie. Udostępnianie próbek danych jako formy nacisku nie jest standardem w branży wśród grup ransomware czy przestępców stosujących wymuszenia – ci częściej grożą publikacją skradzionych plików, nie oferując wcześniej dowodów. Ten szczegół sugeruje, że atakujący chciał szybko zbudować wiarygodność, prawdopodobnie po to, by wywrzeć presję na CareCloud i skłonić firmę do zapłaty, zamiast ryzykować długotrwałe negocjacje.

Mimo to żadna znana grupa ransomware ani gang stosujący wymuszenia nie przyznał się publicznie do ataku. Tego rodzaju niejasność nie jest niczym niezwykłym w obecnym krajobrazie zagrożeń – pojedynczy sprawcy, mniejsze grupy lub partnerzy działający poza rozpoznawalną marką ransomware coraz częściej przeprowadzają ataki bez ujawniania się na stronach wykorzystywanych przez większe operacje cyberprzestępcze do publikacji przecieków. Brak zadeklarowanego przyznania się nie zmniejsza skali zagrożenia, a jedynie utrudnia przypisanie ataku i monitorowanie sytuacji zarówno śledczym, jak i dotkniętym pacjentom.

To działanie informacyjne następuje po wcześniejszym ujawnieniu w tym roku, w którym CareCloud potwierdziła, że hakerzy uzyskali dostęp do dokumentacji medycznej pacjentów w związku z tym samym szerzej zakrojonym incydentem bezpieczeństwa. Rozsyłanie powiadomień do setek tysięcy osób stanowi kolejną fazę procesu ujawniania informacji, ponieważ firma ustala dokładnie, czyje dane zostały naruszone i jakie kategorie informacji wyciekły.

Dlaczego naruszenia danych medycznych niosą ze sobą szczególnie wysokie ryzyko

Elektroniczna dokumentacja medyczna zazwyczaj zawiera zestaw bardzo wrażliwych informacji: nazwiska, daty urodzenia, numery PESEL (Social Security), dane ubezpieczeniowe, historię diagnoz i leczenia, a czasem również dane rozliczeniowe lub finansowe. W przeciwieństwie do skompromitowanego hasła, tego rodzaju informacji nie można po prostu zresetować. Kradzież tożsamości medycznej, oszustwa ubezpieczeniowe i ukierunkowane kampanie phishingowe to realne konsekwencje, gdy takie dane trafią w niepowołane ręce, a skutki mogą ujawnić się dopiero po miesiącach, a nawet latach od pierwotnego naruszenia.

Dostawcy technologii medycznych, tacy jak CareCloud, znajdują się w szczególnie wrażliwej pozycji, ponieważ przetwarzają i przechowują dane w imieniu wielu organizacji świadczących opiekę zdrowotną – co oznacza, że pojedyncze naruszenie u jednego dostawcy może dotknąć pacjentów w wielu różnych klinikach i systemach szpitalnych, które nigdy bezpośrednio nie miały kontaktu z firmą, która ucierpiała. Jak już informowaliśmy, skala ujawnienia danych przez CareCloud dotknęła miliony rekordów pacjentów w całej bazie jej klientów, co podkreśla, jak bardzo skoncentrowane staje się ryzyko, gdy tak wiele danych medycznych przepływa przez niewielką liczbę dostawców technologii.

Co to oznacza dla Ciebie

Jeśli otrzymałeś lub w przyszłości otrzymasz powiadomienie od CareCloud, potraktuj je poważnie, nawet jeśli jego treść brzmi rutynowo. Przeczytaj uważnie list, aby dokładnie zrozumieć, jakie kategorie Twoich informacji zostały objęte incydentem – nie każda osoba otrzymująca powiadomienie będzie miała ujawnione te same dane. Jeśli w grę wchodzą numery PESEL lub identyfikatory ubezpieczeniowe, rozważ zastrzeżenie numeru PESEL lub założenie blokady kredytowej w głównych biurach informacji kredytowej. Uważnie sprawdzaj wyciągi ubezpieczeniowe i rachunki medyczne pod kątem usług, których nie rozpoznajesz – kradzież tożsamości medycznej może być trudniejsza do wykrycia niż zwykłe oszustwa finansowe. Zachowaj ostrożność wobec wszelkich wiadomości e-mail, telefonów lub SMS-ów, które rzekomo pochodzą od CareCloud lub Twojego świadczeniodawcy i proszą o weryfikację danych osobowych – powiadomienia o naruszeniach są często wykorzystywane przez oszustów prowadzących kampanie phishingowe.

Kluczowe wnioski

Proces powiadamiania przez CareCloud przypomina, że naruszenia danych medycznych często przebiegają etapami, a pierwsze włamanie, dochodzenie i ostateczne powiadomienie dzielą miesiące. Pacjenci dotknięci tym incydentem powinni dokładnie zapoznać się z wszelkimi listami powiadamiającymi, skorzystać z oferowanego monitorowania kredytowego, jeśli jest dostępne, i zachować czujność wobec podejrzanych wiadomości odwołujących się do ich historii medycznej lub informacji ubezpieczeniowych. Ponieważ organizacje opieki zdrowotnej nadal polegają na zewnętrznych dostawcach technologii w zakresie zarządzania wrażliwymi danymi, zdarzenia takie jak to pokazują, dlaczego czujność – zarówno ze strony firm, jak i pacjentów – pozostaje niezbędna długo po pierwszym wykryciu naruszenia.