Naruszenie 1,8 mln rekordów w NYC Health wśród nowych incydentów zarejestrowanych przez HHS
Tracker naruszeń danych Departamentu Zdrowia i Opieki Społecznej USA (HHS) dodał kilka poważnych incydentów związanych z ochroną danych medycznych do swojego publicznego rejestru. Największy z nich dotyczy 1,8 miliona osób powiązanych z New York City Health and Hospitals Corporation. W odrębnym incydencie w Erie Family Health Centers naruszono dane osobowe, medyczne i finansowe kolejnych 570 000 osób. Łącznie te incydenty podkreślają uporczywe i narastające zagrożenia dla prywatności związane z naruszeniami danych medycznych, z którymi miliony Amerykanów stykają się za każdym razem, gdy korzystają z usług lekarza.
Co ujawnia tracker naruszeń HHS w odniesieniu do tych incydentów
Portal naruszeń HHS, prowadzony zgodnie z Zasadą Powiadamiania o Naruszeniach HIPAA, funkcjonuje jako publiczny rejestr istotnych incydentów dotyczących danych medycznych, obejmujących 500 lub więcej osób. Pojawienie się nowych wpisów sygnalizuje, że dotknięte organizacje wypełniły swoje obowiązkowe zobowiązania sprawozdawcze — niekiedy wiele miesięcy po wystąpieniu pierwotnego naruszenia.
Wpis dotyczący New York City Health and Hospitals Corporation jest godny uwagi z dwóch powodów: ogromnej skali oraz źródła naruszenia. Incydent nie wynikał z bezpośredniego ataku na systemy szpitalne, lecz z kompromitacji zewnętrznego dostawcy. Erie Family Health Centers — federalnie kwalifikowane centrum zdrowia obsługujące społeczności o niższych dochodach w stanie Illinois — poinformowało, że naruszenie ujawniło szczególnie wrażliwą kombinację typów danych, obejmującą dane identyfikacyjne, informacje medyczne oraz szczegóły finansowe. Ta triada sprawia, że ofiary są jednocześnie narażone na wiele form oszustw.
Dlaczego dokumentacja medyczna jest bardziej niebezpieczna niż większość skradzionych danych
Skradziony numer karty kredytowej jest frustrujący, ale można go anulować w ciągu kilku minut. Skradziona dokumentacja medyczna to zupełnie inna sprawa. Dane medyczne zawierają informacje, których nie można zmienić: daty urodzenia, numery ubezpieczenia społecznego, numery polis ubezpieczeniowych, historię diagnoz i recepty. Na podziemnych rynkach kompletne profile medyczne regularnie osiągają ceny znacznie wyższe niż standardowe dane finansowe.
Niebezpieczeństwo narasta, ponieważ kradzież tożsamości medycznej często pozostaje niewykryta przez miesiące lub lata. Złodziej używający skradzionych danych ubezpieczeniowych do uzyskania recept lub składania fałszywych roszczeń zazwyczaj nie pozostawia natychmiastowych śladów na koncie bankowym ofiary. Do czasu, gdy oszustwo wychodzi na jaw — poprzez odmowę ubezpieczenia lub nieoczekiwany rachunek medyczny — szkody są już rozległe i trudne do naprawienia.
Dokumentacja medyczna stwarza również podstawy do ukierunkowanego phishingu. Atakujący, który zna imię i nazwisko Twojego lekarza, Twoje ostatnie diagnozy oraz Twojego ubezpieczyciela, może tworzyć przekonujące komunikaty omijające sceptycyzm, który większość ludzi stosuje wobec generycznych e-maili phishingowych.
Jak zewnętrzni dostawcy stali się najsłabszym ogniwem w ochronie prywatności pacjentów
Naruszenie danych w NYC Health wpisuje się w schemat dominujący w incydentach bezpieczeństwa w ochronie zdrowia od kilku lat. Szpitale i systemy opieki zdrowotnej polegają na rozbudowanych ekosystemach dostawców oprogramowania, procesorów rozliczeń, platform telemedycznych, narzędzi do umawiania wizyt oraz firm zajmujących się analizą danych. Każda z tych stron trzecich otrzymuje dostęp do danych pacjentów w celu wykonywania swoich zleconych funkcji i każda z nich stanowi dodatkową powierzchnię ataku, której sama organizacja opieki zdrowotnej nie kontroluje w pełni.
Ramy regulacyjne wymagają od podmiotów objętych przepisami podpisywania Umów o Stowarzyszeniu Biznesowym z dostawcami, ustanawiając zobowiązania w zakresie ochrony danych. Jednak takie umowy nie przekładają się automatycznie na równoważny poziom bezpieczeństwa. Duże akademickie centrum medyczne może posiadać dojrzały program bezpieczeństwa, podczas gdy dostawca oprogramowania do planowania wizyt, z którego korzysta, działa przy znacznie mniejszej kontroli.
Ta dynamika nie jest unikalna dla opieki zdrowotnej. Luki na poziomie serwerów w różnych branżach regularnie ujawniają dane przechowywane przez dostawców, a nie przez organizacje główne, którym pacjenci lub klienci ufają. Zrozumienie, że Twoje dane wędrują daleko poza mury gabinetu lekarskiego, jest kluczowym elementem zarządzania własną ekspozycją na ryzyko naruszenia prywatności. Więcej o tym, jak luki na poziomie infrastruktury wpływają na dane w skali masowej, można przeczytać w materiale dotyczącym exploita pomijającego uwierzytelnianie w cPanel, który dotknął dziesiątki tysięcy serwerów, ilustrującym, jak pojedyncza luka w powszechnie stosowanym oprogramowaniu może kaskadowo dotknąć tysiące organizacji jednocześnie.
Praktyczne kroki w zakresie prywatności dla pacjentów korzystających z usług dostawców online
Choć indywidualni pacjenci nie mogą przeprowadzać audytów relacji dostawcy z zewnętrznymi partnerami, istnieją konkretne działania, które zmniejszają narażenie i poprawiają zdolność do wczesnego wykrywania oszustw.
Po pierwsze, regularnie wnioskuj o kopię swojej dokumentacji medycznej. Jej przeglądanie pozwala dostrzec nieznane procedury, recepty lub nazwiska lekarzy, które mogą wskazywać na to, że ktoś użył Twojej tożsamości w celu uzyskania świadczeń medycznych. Zgodnie z HIPAA masz prawo do dostępu do swojej dokumentacji, a większość dostawców jest zobowiązana do realizacji wniosków w ciągu 30 dni.
Po drugie, skontaktuj się ze swoim ubezpieczycielem zdrowotnym i poproś o zestawienie Objaśnień Świadczeń za ostatni rok. Wszelkie roszczenia, których nie rozpoznajesz, wymagają natychmiastowego wyjaśnienia. Wielu ubezpieczycieli oferuje teraz bezpłatne alerty monitorujące w przypadku wykrycia nietypowej aktywności roszczeń.
Po trzecie, rozważ zamrożenie kredytu we wszystkich trzech głównych biurach kredytowych. Kradzież tożsamości medycznej często prowadzi do pojawienia się kont windykacyjnych i fałszywych linii kredytowych, a zamrożenie uniemożliwia otwieranie nowych kont na Twoje nazwisko bez Twojej wyraźnej zgody.
Po czwarte, używaj unikalnych, silnych haseł do wszystkich kont w portalach pacjenta — takich jak te służące do przeglądania wyników badań czy umawiania wizyt. Portale te przechowują wysoce wrażliwe dane, a mimo to są często chronione jedynie słabymi danymi uwierzytelniającymi, które pacjenci ponownie wykorzystują w innych serwisach. Używanie dedykowanego adresu e-mail do kont medycznych ogranicza również zasięg potencjalnych szkód w przypadku naruszenia jednego z Twoich innych kont.
Na koniec, śledź na bieżąco szersze otoczenie regulacyjne i legislacyjne kształtujące sposób przetwarzania Twoich danych. Niedawne ustawodawstwo stanowe dotyczące prywatności cyfrowej, takie jak ustawa SB 73 w stanie Utah dotycząca weryfikacji wieku, odzwierciedla rosnącą świadomość wśród ustawodawców, że przepływy danych online wymagają silniejszych zabezpieczeń. Obserwowanie ewolucji tych polityk może pomóc Ci zrozumieć, jakie ochrony są — a jakich nie ma — wdrożone w odniesieniu do Twoich danych.
Co to oznacza dla Ciebie
Dodanie tych naruszeń do trackera HHS jest przypomnieniem, że zagrożenia dla prywatności związane z naruszeniami danych medycznych nie są hipotetyczne. Wrażliwe dane milionów ludzi zostały ujawnione już tylko w tych dwóch incydentach, a tracker rejestruje setki incydentów rocznie.
Twoje najskuteczniejsze narzędzia to monitoring, wczesne wykrywanie i ograniczanie zbędnego udostępniania danych wszędzie tam, gdzie jest to możliwe. Pytaj swoich dostawców, którzy zewnętrzni partnerzy otrzymują Twoje dane i w jakich celach. Regularnie przeglądaj swoją dokumentację medyczną i wyciągi ubezpieczeniowe. I traktuj dane uwierzytelniające do portalu pacjenta z taką samą powagą, jaką stosujesz do swoich kont finansowych. Kroki te nie zapobiegną naruszeniu danych przez dostawcę, ale znacznie zwiększają Twoje szanse na wykrycie oszustwa, zanim wyrządzi trwałe szkody.
