Naruszenie danych w Change Healthcare obejmujące 192,7 mln rekordów: Co to oznacza dla prywatności pacjentów

Trudno ogarnąć te liczby. W 2024 roku atak ransomware na Change Healthcare, izbę rozliczeniową przetwarzającą transakcje rozliczeniowe i ubezpieczeniowe dla znacznej części amerykańskiego systemu opieki zdrowotnej, doprowadził do kradzieży danych osobowych i zdrowotnych należących do 192,7 miliona osób. To pojedyncze naruszenie danych medycznych jest obecnie największym w udokumentowanej historii, przewyższając ogromną przewagą wszystkie wcześniejsze incydenty.

Dla porównania – liczba ta stanowi ponad połowę populacji Stanów Zjednoczonych. Nie pochodzi z dziesiątek osobnych incydentów w ciągu roku. Pochodzi z jednego ataku, na jedną firmę, która znajdowała się w centrum wzajemnie powiązanej sieci świadczeniodawców, ubezpieczycieli i pacjentów.

Jak jeden atak dotknął 192,7 miliona osób

Rola Change Healthcare w amerykańskim systemie opieki zdrowotnej uczyniła ją niezwykle wartościowym celem. Jako izba rozliczeniowa przetwarzała roszczenia i transakcje łączące tysiące szpitali, klinik, aptek i ubezpieczycieli. Gdy atakujący włamali się do jej sieci, nie uzyskali dostępu do danych jednej organizacji – uzyskali dostęp do centralnego repozytorium obejmującego ogromny przekrój całej branży opieki zdrowotnej.

Naruszenie przebiegło według schematu typowego dla incydentów ransomware na dużą skalę: atakujący uzyskali początkowy dostęp, przemieszczali się poziomo przez wewnętrzne systemy, zidentyfikowali i wykradli wrażliwe dane, a następnie wdrożyli ransomware, aby zakłócić działanie. Samo zakłócenie operacyjne wywołało kaskadowe problemy w sektorze ochrony zdrowia – świadczeniodawcy nie mogli przetwarzać roszczeń przez wiele tygodni. Jednak trwalszą szkodą jest ujawnienie dokumentacji medycznej, informacji ubezpieczeniowych i identyfikatorów osobistych niemal 193 milionów ludzi.

Ten rodzaj ryzyka związanego z zewnętrznymi dostawcami nie jest specyficzny dla Change Healthcare. Naruszenie w TriZetto, które ujawniło 3,4 miliona rekordów pacjentów, przebiegło według podobnego schematu – atakujący wzięli na cel pośrednika technologicznego w ochronie zdrowia, a nie bezpośrednio szpital. Kiedy jeden dostawca obsługuje setki klientów z branży medycznej, jedno udane włamanie może rozprzestrzenić się, dotykając miliony osób, które nigdy nie miały bezpośredniego kontaktu z zaatakowaną firmą.

Dlaczego opieka zdrowotna jest uporczywym celem

Organizacje opieki zdrowotnej należą do najczęściej atakowanych sektorów z kilku powiązanych ze sobą powodów. Dokumentacja medyczna zawiera wyjątkowo gęste połączenie informacji osobistych, finansowych i medycznych, przez co jest cenniejsza dla przestępców niż zwykłe dane finansowe. Jednocześnie wiele organizacji medycznych działa na niewielkich marżach, polega na przestarzałej infrastrukturze i zmaga się z presją regulacyjną i operacyjną, która może spowalniać poprawę bezpieczeństwa.

Skala naruszenia w Change Healthcare jest ekstremalna, ale częstotliwość wycieków danych medycznych nie jest niczym niezwykłym. Incydenty dotykające duże populacje pacjentów są regularnie odnotowywane w ostatnich latach – od dużych publicznych systemów opieki zdrowotnej po mniejszych dostawców specjalistycznych. Naruszenie w NYC Health and Hospitals, które ujawniło 1,8 miliona odcisków palców, pokazuje, że nawet dane biometryczne przechowywane przez instytucje publiczne mogą zostać skompromitowane, gdy sieć zewnętrznego dostawcy nie jest odpowiednio zabezpieczona.

Schemat tych incydentów jest spójny: atakujący znajdują słaby punkt, często poprzez skompromitowane dane uwierzytelniające, niezałatane systemy lub niewystarczająco zabezpieczony dostęp zdalny, a następnie przemieszczają się przez sieci, które nie zostały zbudowane, by powstrzymać zdeterminowanego intruza.

Co to oznacza dla Ciebie

Jeśli korzystałeś z opieki medycznej w Stanach Zjednoczonych kiedykolwiek przed 2024 rokiem lub w jego trakcie, istnieje realne prawdopodobieństwo, że Twoje dane znalazły się wśród ujawnionych rekordów w naruszeniu Change Healthcare. Według doniesień skradzione dane obejmują nazwiska, adresy, numery ubezpieczenia społecznego, informacje o ubezpieczeniu oraz w wielu przypadkach szczegółową dokumentację medyczną.

Dla pacjentów oznacza to ryzyko nie tylko kradzieży tożsamości. Obejmuje ono możliwość oszustw ubezpieczeniowych, ukierunkowanych ataków phishingowych wykorzystujących osobiste dane zdrowotne oraz długoterminowe ujawnienie wrażliwej historii medycznej. Informacji zdrowotnych, w przeciwieństwie do numeru karty kredytowej, nie można zmienić.

Dla pracowników i administratorów służby zdrowia naruszenie jest wyraźnym przypomnieniem, że bezpieczeństwo danych pacjentów zależy nie tylko od zabezpieczeń ich własnej organizacji, ale od każdego dostawcy i partnera podłączonego do ich systemów. Naruszenia związane z zewnętrznymi dostawcami nadal stanowią znaczną część incydentów w ochronie zdrowia, a sprawa Change Healthcare rodzi pilne pytania o to, jak dokładnie te relacje są weryfikowane i monitorowane.

Dla samych organizacji opieki zdrowotnej naruszenie uwypukla kilka konkretnych obszarów wartych przeglądu:

  • Kontrola dostępu stron trzecich: Dostawcy z dostępem do wewnętrznych systemów powinni podlegać takiej samej kontroli jak użytkownicy wewnętrzni, w tym ścisłym zasadom dotyczącym danych uwierzytelniających i segmentacji sieci, która ogranicza zasięg pojedynczego punktu dostępu.
  • Bezpieczeństwo dostępu zdalnego: Sieci VPN z wymuszoną wieloskładnikową autoryzacją stanowią podstawową ochronę zdalnego dostępu do wewnętrznych systemów. Naruszenie w Change Healthcare ilustruje, że skompromitowane dane uwierzytelniające mogą być punktem wejścia, ale samo VPN nie jest kompletną obroną. Musi być połączone z segmentacją, monitorowaniem i zdolnościami reagowania.
  • Minimalizacja danych: Organizacje powinny przeprowadzać audyt danych udostępnianych dostawcom zewnętrznym, zachowując i przesyłając tylko to, co jest niezbędne operacyjnie.

Warto wyraźnie powiedzieć, co narzędzia bezpieczeństwa, takie jak VPN, mogą, a czego nie mogą zrobić. Sieci VPN chronią kanał, przez który przesyłane są dane, szczególnie dla zdalnych pracowników uzyskujących dostęp do systemów klinicznych lub do komunikacji telemedycznej, która musi pozostać prywatna. Są istotną warstwą ochrony dla pracowników medycznych działających poza siecią kliniczną. Jednak naruszenie w Change Healthcare nie było przede wszystkim porażką bezpieczeństwa dostępu zdalnego. Wiązało się z głębszymi, systemowymi problemami dotyczącymi architektury sieci i przemieszczania poziomego – problemami wymagającymi wielowarstwowej obrony wykraczającej daleko poza pojedyncze narzędzie.

Konkretne wskazówki

Jeśli podejrzewasz, że Twoje dane mogły zostać objęte naruszeniem w Change Healthcare lub podobnym incydentem, warto podjąć konkretne kroki. Monitoruj wyciągi z ubezpieczenia zdrowotnego pod kątem roszczeń, których nie rozpoznajesz. Zastrzeż alert o oszustwie lub blokadę kredytową w głównych biurach informacji kredytowej. Uważaj na próby phishingu, które wykorzystują osobiste dane zdrowotne, by wydawać się wiarygodnymi.

Dla pracowników i administratorów służby zdrowia lekcja z rekordowego naruszenia w 2024 roku jest taka, że relacje z dostawcami to relacje bezpieczeństwa. Każde połączenie strony trzeciej z siecią kliniczną jest potencjalnym punktem wejścia, który zasługuje na rygorystyczną, ciągłą ocenę. Skala tego, co wydarzyło się w Change Healthcare, odzwierciedla nie tylko słabości jednej firmy, ale ryzyko, jakie niesie budowanie branży na ściśle powiązanej, niewystarczająco utwardzonej infrastrukturze. Zmniejszenie tego ryzyka wymaga inwestycji w bezpieczeństwo na każdym ogniwie łańcucha, nie tylko na tych najbardziej widocznych.