Gigant diagnostyki onkologicznej staje się najnowszym celem ShinyHunters

Grupa wymuszająca okup ShinyHunters opublikowała zbiór danych zawierający około 10,9 miliona adresów e-mail skradzionych dużej firmie zajmującej się diagnostyką onkologiczną, po tym jak przedsiębiorstwo medyczne podobno odmówiło zapłacenia okupu. Wyciekłe dane obejmują informacje osobowe powiązane z pacjentami, klientami i usługami medycznymi, z których korzystali, budząc nowe obawy o to, jak wrażliwe dane medyczne trafiają na fora przestępcze. Badacze bezpieczeństwa powiązali to naruszenie z Exact Sciences, dostawcą diagnostyki onkologicznej, choć dokładny zakres osób poszkodowanych jest wciąż analizowany.

To, co wyróżnia ten incydent, to nie tylko rozmiar wycieku. To metoda, jakiej ShinyHunters użyli, by w ogóle dostać się do środka: nie wykorzystali luki w oprogramowaniu ani nie przebili się przez zaporę sieciową. Po prostu zadzwonili.

Jak vishing zmienił pracowników w nieświadomych wspólników

Według doniesień, ShinyHunters dzwonili do pracowników firmy diagnostycznej i stosowali socjotechnikę, powszechnie znaną jako vishing (voice phishing), by przekonać personel do przekazania danych dostępowych lub zatwierdzenia zmian na kontach. Po dostaniu się do środka atakujący zdołali wydobyć duży zbiór danych, zanim firma lub jej zespół bezpieczeństwa zdołali powstrzymać włamanie.

To nie jest jednorazowa taktyka tej grupy. ShinyHunters zastosowali ten sam schemat wobec innych dużych organizacji. Naruszenie danych w ADT ujawniło około 10 milionów rekordów po tym, jak atakujący użyli niemal identycznej socjotechniki, by oszukać pracowników i skłonić ich do udzielenia dostępu, a naruszenie w Charter Communications dotknęło 4,9 miliona rekordów przy użyciu tej samej metody. W obu przypadkach słabym ogniwem nie była luka techniczna, lecz ludzka: pracownik po drugiej stronie słuchawki, który wierzył, że rozmawia z uprawnioną osobą.

Ten schemat ma znaczenie dla sposobu, w jaki organizacje powinny myśleć o obronie. Ataki vishing odnoszą sukces, ponieważ celują w zaufanie i poczucie pilności, a nie w kod. Przekonujący rozmówca podający się za wsparcie IT, dostawcę lub przełożonego często może zajść dalej niż wyrafinowany exploit, zwłaszcza gdy personel nie został przeszkolony, by weryfikować nietypowe prośby za pośrednictwem drugiego kanału.

Co zostało ujawnione i dlaczego aspekt wymuszenia ma znaczenie

Zrzucony zbiór danych podobno zawiera około 10,9 miliona unikalnych adresów e-mail wraz z innymi informacjami osobowymi i związanymi ze zdrowiem, powiązanymi z pacjentami i klientami firmy diagnostycznej. Ponieważ firma najwyraźniej odmówiła zapłaty, ShinyHunters opublikowali dane publicznie, zamiast po cichu – posunięcie, które grupa przedstawiła jako karę, podobno stwierdzając, że firma „powinna była zapłacić okup".

Ten model wymuszenia, a następnie wycieku stał się znakiem rozpoznawczym ShinyHunters. Odzwierciedla to, co stało się po naruszeniu danych w Zarze, gdzie skradzione dane klientów zostały powiązane z tą samą grupą działającą poprzez kompromitację zewnętrznego dostawcy. Wspólnym wątkiem tych incydentów jest to, że atakujący rzadko muszą włamywać się bezpośrednio do głównych systemów firmy. Znajdują łatwiejszy punkt wejścia – czy to dostawcę, pracownika call center, czy dział pomocy technicznej – i wykorzystują go jako przyczółek.

W przypadku naruszeń związanych z opieką zdrowotną stawka jest szczególnie wysoka w porównaniu z typowym wyciekiem z handlu detalicznego. Adresy e-mail zestawione z informacjami diagnostycznymi lub dotyczącymi leczenia mogą być wykorzystywane do ukierunkowanego phishingu, oszustw ubezpieczeniowych lub po prostu ujawnienia wrażliwej historii medycznej, o której ludzie nigdy nie spodziewali się, że stanie się publiczna.

Co to oznacza dla Ciebie

Jeśli kiedykolwiek korzystałeś z usług dostawcy diagnostyki onkologicznej, szczególnie tego powiązanego z tym incydentem, warto sprawdzić, czy Twój adres e-mail pojawia się w serwisach monitorujących naruszenia i zwracać uwagę na nietypową aktywność na koncie. Nawet jeśli Twoje konkretne dane medyczne nie były częścią wyciekłego zbioru, samo ujawnienie Twojego adresu e-mail obok nazwy placówki medycznej może uczynić Cię celem e-maili phishingowych zaprojektowanych tak, by wyglądały jak oficjalna korespondencja medyczna.

Szerzej rzecz ujmując, to naruszenie przypomina, że ochrona danych to nie tylko zapory sieciowe i szyfrowanie. Chodzi również o to, jak dobrze organizacja szkoli swój personel w rozpoznawaniu socjotechniki. Firmy przetwarzające wrażliwe dane medyczne są atrakcyjnymi celami właśnie dlatego, że te informacje mają długoterminową wartość, a jeden udany telefon może otworzyć dostęp, którego zabezpieczanie trwało latami.

Wnioski do wdrożenia

  • Sprawdź, czy Twój adres e-mail pojawił się w tym lub powiązanych naruszeniach, korzystając z renomowanego serwisu monitorującego wycieki, i zmień hasła na wszystkich kontach powiązanych z tym adresem.
  • Bądź sceptyczny wobec niechcianych e-maili lub telefonów odwołujących się do wizyt lekarskich, wyników badań czy szczegółów rozliczeń, zwłaszcza jeśli proszą Cię o kliknięcie linku lub potwierdzenie danych osobowych.
  • Włącz uwierzytelnianie wieloskładnikowe na każdym portalu medycznym lub koncie pacjenta, z którego korzystasz, ponieważ zmniejsza to szkody, nawet jeśli dane logowania zostaną przejęte.
  • Jeśli masz kontakt z organizacjami przetwarzającymi wrażliwe dane, zapytaj, jakie wewnętrzne procedury weryfikacyjne stosują przed przyznaniem dostępu do konta przez telefon, ponieważ odporność na vishing często zależy od polityki, a nie tylko od technologii.

Jak pokazuje schemat działania ShinyHunters, naruszenie w firmie zajmującej się diagnostyką onkologiczną to nie tylko historia o porażce pojedynczej firmy. To sygnał, że socjotechnika pozostaje jednym z najskuteczniejszych narzędzi w arsenale hakera, a czujność – zarówno ze strony organizacji, jak i jednostek – jest wciąż najlepszą dostępną obroną.