Quest Diagnostics poinformowało organy regulacyjne, że nieuprawniona strona uzyskała dostęp do jednego z jego systemów i że „pewne dokumenty pacjentów” mogą być zagrożone. Ujawnienie, dokonane w zgłoszeniu regulacyjnym i opisane przez SecurityWeek, dotyczy Quanum Lab Services Manager, platformy, za pośrednictwem której niektórzy klienci mogą składać zamówienia na badania. Szczegóły są wciąż ograniczone, ale historia naruszenia bezpieczeństwa danych pacjentów Quest Diagnostics już teraz oferuje użyteczne lekcje dla każdego, kto kiedykolwiek miał wykonane badanie krwi lub inne badania laboratoryjne w Stanach Zjednoczonych.

Co Quest ujawniło na temat naruszenia Quanum

Zgodnie z raportem źródłowym Quest Diagnostics zgłosiło nieuprawniony dostęp do Quanum Lab Services Manager w zgłoszeniu regulacyjnym. Platforma jest wykorzystywana przez niektórych klientów, czyli świadczeniodawców opieki zdrowotnej i podobne organizacje, do składania zamówień na badania laboratoryjne. Nie jest to aplikacja skierowana do konsumentów, do której większość pacjentów loguje się samodzielnie.

Firma poinformowała, że uważa, iż pewne dokumenty pacjentów zostały objęte naruszeniem. Relacje ze zgłoszenia wskazują również, że pełny zakres pozostaje przedmiotem dochodzenia. Niektóre posty w mediach społecznościowych krążące wokół incydentu zawierają szersze twierdzenia, w tym dotyczące tego, jakie typy danych zostały ujawnione. Ponieważ samo zgłoszenie jest opisane jedynie ogólnie, twierdzenia te należy traktować ostrożnie, dopóki Quest lub organy regulacyjne nie opublikują więcej szczegółów.

To, co możemy stwierdzić z pewnością, jest ograniczone: uzyskano nieuprawniony dostęp do platformy zamówień skierowanej do klientów, uważa się, że pewne dokumenty pacjentów zostały objęte naruszeniem, a dochodzenie jest w toku. Czytelnicy powinni spodziewać się, że obraz sytuacji będzie się zmieniać w miarę, jak firma będzie dowiadywać się więcej.

Dlaczego platformy do zamawiania badań są słabym punktem prywatności w ochronie zdrowia

Większość ludzi myśli o laboratorium jako o pojedynczej organizacji. W praktyce badanie obejmuje łańcuch podmiotów: gabinet Twojego lekarza, laboratorium, systemy rozliczeniowe i oprogramowanie, które je łączy. Portale takie jak Quanum istnieją po to, aby zewnętrzni klienci mogli wysyłać zamówienia i otrzymywać informacje, co oznacza, że z założenia przechowują dane pacjentów i są dostępne dla wielu użytkowników z wielu lokalizacji.

Ta kombinacja tworzy ryzyko. Każdy podłączony klient to kolejny zestaw poświadczeń, urządzeń i pracowników, którzy mogą stać się celem ataku. System zbudowany dla wygody wielu organizacji jest również cennym pojedynczym punktem dostępu dla atakującego. Być może nigdy nie słyszałeś o tej platformie, a jednak Twoje dokumenty mogą przez nią przechodzić tylko dlatego, że świadczeniodawca wybrał konkretne laboratorium.

To także dlatego pacjenci często dowiadują się o naruszeniu z drugiej ręki. Organizacja, z którą miałeś bezpośrednio do czynienia, może nie być tą, która została naruszona, więc powiadomienia mogą pochodzić od firmy, której nie rozpoznajesz.

Co to oznacza dla Ciebie

Jeśli korzystałeś z Quest Diagnostics, bezpośrednio lub przez lekarza, praktyczne przesłanie to zachowanie czujności, a nie panika. Nie każdy pacjent jest objęty naruszeniem, a firma nie opublikowała pełnej listy ujawnionych danych.

Oto, co należy teraz zrobić:

  • Obserwuj swoją pocztę tradycyjną i e-mail w poszukiwaniu listu z powiadomieniem. Organizacje, które doświadczyły naruszenia dotyczącego danych osobowych, są zazwyczaj zobowiązane do powiadomienia osób, których to dotyczy. Przeczytaj uważnie każde powiadomienie i zachowaj jego kopię.
  • Rozważ zamrożenie kredytu. Zamrożenie jest bezpłatne i ogranicza możliwość zaciągnięcia nowego kredytu na Twoje nazwisko przez kogoś innego. To rozsądny środek ostrożności, jeśli powiadomienie mówi o danych identyfikacyjnych.
  • Bądź sceptyczny wobec nieoczekiwanych wiadomości dotyczących Twojego zdrowia. Wiadomości tekstowe, połączenia lub e-maile wspominające o wynikach badań, rozliczeniach lub „weryfikacji Twoich danych” mogą być próbami phishingu. Skontaktuj się z Quest lub swoim świadczeniodawcą, korzystając z numeru telefonu lub strony internetowej, które sam znajdziesz, a nie z tych podanych w wiadomości.
  • Przeglądaj swoje konta i wyciągi. Sprawdzaj aktywność na kontach bankowych, ubezpieczeniowych i portalach zdrowotnych pod kątem wszystkiego, co nieznane, i zgłaszaj problemy niezwłocznie.
  • Wzmocnij swoje logowania. Używaj unikalnych haseł i uwierzytelniania wieloskładnikowego na portalach pacjentów, w poczcie e-mail i na kontach finansowych.

Jak skradzione dane zdrowotne są wykorzystywane po naruszeniu

Informacje medyczne są atrakcyjne, ponieważ łączą dane identyfikacyjne z wrażliwym kontekstem. Przestępcy mogą wykorzystać je do tworzenia przekonujących wiadomości phishingowych odwołujących się do prawdziwego świadczeniodawcy lub prawdziwego badania, co zwiększa prawdopodobieństwo, że ludzie klikną lub udostępnią więcej informacji. Dane identyfikacyjne mogą być również wykorzystane w próbach oszustwa.

Istnieje drugie zastosowanie, które stało się bardziej powszechne: presja. Skradzione dokumenty mogą być wykorzystane jako dźwignia wobec organizacji, przy czym atakujący grożą ich publikacją, jeśli żądania nie zostaną spełnione. Nasz artykuł wyjaśniający na temat jak reputacja stała się bronią w wymuszaniu danych przez ransomware omawia, dlaczego skradzione dane stały się narzędziem przetargowym. Raport źródłowy o Quest nie mówi, że w tym przypadku chodzi o wymuszenie, więc jest to kontekst, a nie twierdzenie o tym incydencie.

Warto również zauważyć, że wskazówki po naruszeniu mogą się różnić w zależności od tego, co zostało zabrane. W jednym niepowiązanym przypadku firma z branży hotelarskiej doradziła dotkniętym gościom fizyczną wymianę paszportów i praw jazdy po ujawnieniu dokumentów tożsamości. Ta firma nie jest powiązana z Quest Diagnostics, ale przykład pokazuje, dlaczego konkretne typy danych wymienione w Twoim powiadomieniu mają większe znaczenie niż nagłówek.

Najważniejsze wnioski

Ujawnienie naruszenia bezpieczeństwa danych pacjentów Quest Diagnostics wciąż się rozwija, a dokładna liczba osób i typy objętych danych nie są jeszcze publiczne. Dopóki nie będą, kilka nawyków pokrywa większość ryzyka:

  1. Wypatruj listu z powiadomieniem o naruszeniu i przeczytaj go uważnie.
  2. Zamroź swój kredyt, jeśli powiadomienie wspomina o danych identyfikacyjnych.
  3. Traktuj nieoczekiwane wiadomości dotyczące zdrowia lub rozliczeń jako podejrzane i weryfikuj je za pośrednictwem oficjalnych kanałów.
  4. Włącz uwierzytelnianie wieloskładnikowe dla swoich kluczowych kont.

Aby zrozumieć, dlaczego skradzione dokumenty mogą mieć znaczenie długo po pierwszych nagłówkach, przeczytaj nasz artykuł o wymuszaniu danych przez ransomware, a następnie poświęć dziś dziesięć minut na zabezpieczenie swojego kredytu i kont.