Co się wydarzyło podczas ataku na zespół opieki w Kowloon City

Działający przy samorządzie lokalnym w Kowloon City w Hongkongu zespół opieki padł ofiarą ataku hakerskiego, w wyniku którego ujawniono dane osobowe 23 podopiecznych. Choć liczba poszkodowanych może wydawać się niewielka w porównaniu z trafiającymi na pierwsze strony gazet naruszeniami na masową skalę, incydent ten niesie ze sobą poważne konsekwencje dla sposobu, w jaki lokalne agencje sektora publicznego obchodzą się z wrażliwymi danymi mieszkańców.

Zespoły opieki w Kowloon City stanowią część hongkońskiej infrastruktury pomocy społecznej na poziomie dzielnicowym i zazwyczaj obsługują osoby starsze, niepełnosprawne oraz wymagające wsparcia środowiskowego. Osoby korzystające z tych usług często udostępniają szczegółowe dane osobowe, w tym informacje o stanie zdrowia, adresy zamieszkania i sytuację rodzinną. Tego rodzaju dane w niepowołanych rękach mogą umożliwić wycelowane oszustwa, socjotechnikę lub nękanie.

W momencie publikacji informacji władze nie podały do wiadomości publicznej szczegółów na temat tego, jakie konkretnie dane zostały ujawnione, które systemy zostały naruszone ani w jaki sposób przeprowadzono atak. Trwało powiadamianie poszkodowanych mieszkańców i wszczęto dochodzenie. Ten brak przejrzystości sam w sobie jest częstym schematem w przypadku naruszeń danych w służbie zdrowia na szczeblu samorządowym, gdzie protokoły reagowania na incydenty są często mniej dojrzałe niż te stosowane w większych instytucjach.

Dlaczego samorządowe służby zdrowia są szczególnie narażone

Rządowe służby zdrowia i opieki społecznej na poziomie dzielnicowym działają w zupełnie innych warunkach niż krajowe systemy ochrony zdrowia czy prywatne szpitale. Budżety są ograniczone, personel IT nieliczny, a inwestycje w cyberbezpieczeństwo rzadko kiedy są priorytetem wobec bieżących potrzeb związanych ze świadczeniem usług pierwszej linii.

Tworzy to problem strukturalny. Te same służby, które gromadzą jedne z najbardziej wrażliwych danych osobowych — historie chorób, adresy zamieszkania, status świadczeń socjalnych — często działają na przestarzałym oprogramowaniu i nie mają dedykowanego personelu ds. bezpieczeństwa. Stosunkowo prosta technika włamania może wystarczyć, aby uzyskać dostęp do systemów, które nigdy nie zostały zabezpieczone przed atakiem.

Nie jest to problem wyłącznie Hongkongu. Wyciek danych kontrahenta CISA, który ujawnił dane uwierzytelniające AWS i hasła w publicznym repozytorium GitHub, pokazał, że nawet agencje z mandatem bezpieczeństwa mogą paść ofiarą podstawowych błędów operacyjnych. Gdy daną organizacją jest niewielkie biuro opieki dzielnicowej, a nie federalny organ ds. cyberbezpieczeństwa, przepaść między ryzykiem a gotowością staje się jeszcze większa.

Niewielkie jednostki sektora publicznego polegają również często na zewnętrznych dostawcach oprogramowania lub współdzielonych rządowych platformach IT, co wprowadza ryzyko związane z łańcuchem dostaw. Luka w zabezpieczeniach współdzielonej platformy może narazić jednocześnie wiele agencji, zwielokrotniając skutki pojedynczego punktu awarii.

Jakie dane zostały ujawnione i kto jest zagrożony

23 poszkodowane osoby to podopieczni środowiskowego zespołu opieki, co oznacza, że należeli oni prawdopodobnie do bardziej narażonych członków społeczności. Osoby starsze oraz otrzymujące wsparcie socjalne są z reguły bardziej narażone na dalsze szkody w przypadku ujawnienia ich danych osobowych, w tym na wycelowane oszustwa i kradzież tożsamości.

Nawet niewielki zbiór danych może być cenny dla złych aktorów. Lista 23 osób zawierająca nazwiska, adresy, informacje o stanie zdrowia i dane kontaktowe dostarcza wystarczająco dużo materiału, by spreparować przekonujące wiadomości phishingowe lub schematy podszywania się. W przeciwieństwie do naruszenia obejmującego miliony zanonimizowanych rekordów, niewielki, wycelowany zbiór danych osób wrażliwych można wykorzystać w sposób bardzo precyzyjny.

Sytuacja ta odzwierciedla szersze trendy w bezpieczeństwie danych medycznych. Badania konsekwentnie pokazują, że włamania i incydenty informatyczne są główną przyczyną naruszeń danych medycznych na świecie, wyprzedzając nawet zagrożenia wewnętrzne czy zgubione urządzenia. Przypadek Kowloon City wpisuje się w ten schemat, jednocześnie podkreślając mniej nagłaśniany podzbiór problemu: niewielkie, zlokalizowane incydenty dotykające populacji zmarginalizowanych lub szczególnie wrażliwych.

Pouczające są porównania z głośniejszymi sprawami. Pozew sądowy w Kalifornii przeciwko 23andMe w związku z naruszeniem danych genetycznych 7 milionów użytkowników pokazał, że nawet gdy bezpośredni dostęp uzyskano jedynie do ułamka bazy danych, dalsze konsekwencje prawne i osobiste mogą być poważne. Skala nie jest jedyną miarą szkody.

Jak chronić swoje dane osobowe w kontaktach z instytucjami publicznymi

Większość ludzi ma ograniczoną kontrolę nad tym, jakie dane gromadzą agencje rządowe. Rejestracja w opiece społecznej, służbie zdrowia czy programach środowiskowych zazwyczaj wymaga podania danych osobowych. Istnieją jednak kroki, które mieszkańcy mogą podjąć, aby zmniejszyć swoją ekspozycję i skutecznie zareagować w przypadku naruszenia.

Po pierwsze, podawaj tylko minimalne wymagane informacje. Wiele formularzy prosi o więcej, niż jest to absolutnie konieczne. Jeśli pole jest opcjonalne, rozważ pozostawienie go pustym. Zmniejszenie ilości udostępnianych danych zmniejsza zakres tego, co może zostać ujawnione.

Po drugie, prowadź rejestr tego, gdzie udostępniłeś swoje dane osobowe. Jeśli nadejdzie powiadomienie o naruszeniu, musisz wiedzieć, jakie informacje znajdowały się w aktach, aby dokładnie ocenić ryzyko. Prosta lista, które agencje przechowują jakie dane, może znacząco wpłynąć na twoją reakcję.

Po trzecie, monitoruj oznaki kradzieży tożsamości lub socjotechniki po każdym powiadomieniu o naruszeniu. Obejmuje to zwracanie uwagi na nieoczekiwane telefony lub wiadomości powołujące się na dane osobowe, którymi nie dzieliłeś się szeroko, nietypową aktywność na kontach finansowych lub nieznane zapytania kredytowe.

Po czwarte, domagaj się lepszych standardów. Cyberbezpieczeństwo w sektorze publicznym często poprawia się tylko wtedy, gdy domagają się tego mieszkańcy i organy nadzorcze. Pytanie lokalnych przedstawicieli o politykę ochrony danych i plany reagowania na naruszenia jest uzasadnioną i pożyteczną formą zaangażowania obywatelskiego.

Naruszenie w zespole opieki w Kowloon City przypomina, że naruszenia danych medycznych na szczeblu samorządowym nie muszą dotykać milionów ludzi, by mieć znaczenie. Dwadzieścia trzy osoby, prawdopodobnie należące do najbardziej narażonych w swojej społeczności, stoją teraz w obliczu niepewności co do tego, jak wykorzystywane są ich dane osobowe. Ten rezultat zasługuje na taką samą kontrolę, jaką stosujemy wobec największych naruszeń korporacyjnych, i na taką samą pilność w reagowaniu.