Uma Grande Violação na Cadeia de Abastecimento de Saúde

A McKesson, uma das maiores empresas da cadeia de abastecimento médica dos Estados Unidos, confirmou uma violação de dados que, segundo relatos, expôs 284 milhões de registos de pacientes. A escala deste incidente coloca-o entre as violações de dados de saúde mais significativas divulgadas este ano, e sublinha a enorme quantidade de informações pessoais e médicas sensíveis que circulam pelas empresas que apoiam hospitais e farmácias nos bastidores.

De acordo com a reportagem sobre o incidente, o grupo de ameaças conhecido como ShinyHunters reivindica a responsabilidade pela violação, alegando ter roubado cerca de 1 terabyte de dados contendo 284 milhões de linhas de informações de pacientes do ambiente de dados na nuvem Snowflake da McKesson. O grupo terá exigido aproximadamente 55 milhões de dólares à McKesson em conexão com os dados roubados. A McKesson divulgou o incidente de cibersegurança num formulário 8-K junto da Comissão de Valores Mobiliários dos Estados Unidos (SEC), um passo obrigatório para empresas cotadas em bolsa que enfrentam eventos de segurança materiais.

A McKesson fornece produtos farmacêuticos e médicos a uma grande parte dos hospitais a nível nacional, o que significa que os dados expostos provavelmente afetam uma enorme secção transversal de pacientes que podem nunca ter interagido diretamente com a própria empresa. Esse é um dos aspetos mais preocupantes das violações na cadeia de abastecimento: os pacientes frequentemente não têm qualquer relação direta com a organização violada, mas as suas informações de saúde protegidas (PHI) e dados pessoais podem ainda assim acabar comprometidos.

Por Que os Fornecedores da Cadeia de Abastecimento São Alvos de Alto Valor

Empresas da cadeia de abastecimento de saúde como a McKesson encontram-se na intersecção de enormes quantidades de dados sensíveis e sistemas complexos e interligados. Processam registos de prescrições, identificadores de pacientes e outras informações de saúde protegidas como parte rotineira das suas operações com hospitais, clínicas e farmácias em todo o país.

Esta violação enquadra-se num padrão mais amplo com o qual o setor da saúde se tem debatido nos últimos anos. Os atacantes reconhecem cada vez mais que fornecedores terceiros e prestadores de infraestrutura, e não apenas os próprios hospitais, podem oferecer um ponto único de falha que expõe dados pertencentes a milhões de pacientes em vários prestadores de cuidados diferentes. Uma dinâmica semelhante verificou-se no ataque de ransomware à ChipSoft que expôs dados de pacientes neerlandeses, onde o comprometimento de um único fornecedor de software teve repercussões em pacientes de todo um sistema de saúde. Quando um fornecedor que toca milhões de registos de pacientes é comprometido, as consequências estendem-se muito além da base de clientes dessa única empresa.

A utilização de plataformas de dados na nuvem como a Snowflake neste incidente é também digna de nota. À medida que as organizações de saúde e os seus fornecedores dependem cada vez mais de armazenamento de dados baseado na nuvem para gerir conjuntos de dados massivos, proteger esses ambientes, incluindo controlos de acesso, monitorização e gestão de credenciais, torna-se tão crítico como proteger os sistemas tradicionais locais.

O Custo Humano Por Trás dos Números

É fácil que um número como 284 milhões de registos pareça abstrato, mas cada linha nesse conjunto de dados roubado provavelmente representa o histórico de prescrições, detalhes médicos ou identificadores pessoais de uma pessoa real. As informações de saúde protegidas são particularmente valiosas para os criminosos porque, ao contrário de um número de cartão de crédito, não podem simplesmente ser canceladas e reemitidas. Dados médicos roubados podem ser usados para fraude de seguros, campanhas de phishing direcionadas, roubo de identidade e tentativas de extorsão contra os indivíduos afetados.

As violações no setor da saúde também acarretam riscos operacionais além da exposição de dados. Discussões em eventos do setor focadas na cibersegurança hospitalar destacaram que, quando ransomware ou grandes violações atingem organizações de saúde, as consequências podem estender-se aos próprios cuidados aos pacientes, e não apenas à privacidade dos dados, como abordado na reportagem sobre a cimeira Black Hat e HIMSS focada na saúde. Embora o incidente da McKesson seja principalmente um evento de exposição de dados e não uma perturbação dos cuidados, reflete a mesma vulnerabilidade subjacente: a cadeia de abastecimento da saúde é tão segura quanto o seu elo mais fraco entre os fornecedores.

O Que Isto Significa Para Si

Se alguma vez recebeu prescrições ou produtos médicos através de um prestador que trabalha com a McKesson, e dada a escala da empresa, isso pode incluir uma grande parte dos pacientes nos EUA, vale a pena tratar esta violação como um motivo para estar mais vigilante, mesmo antes de chegarem notificações oficiais. Fique atento a:

  • Extratos de explicação de benefícios (EOB) do seu seguro de saúde relativos a serviços ou prescrições que não reconhece
  • Chamadas, mensagens de texto ou emails inesperados que mencionem o seu histórico médico ou prescrições, que podem ser tentativas de phishing usando dados roubados
  • Avisos da McKesson ou do seu prestador de cuidados de saúde sobre a violação, e quaisquer ofertas de serviços de monitorização de crédito ou proteção de identidade
  • Os seus relatórios de crédito, uma vez que as PHI são frequentemente combinadas com outros detalhes identificativos utilizáveis para roubo de identidade

A McKesson ainda não confirmou o âmbito completo ou a exatidão das alegações da ShinyHunters, e os detalhes podem evoluir à medida que a investigação continua. Ainda assim, dado o enorme volume de registos alegadamente envolvidos, os pacientes afetados por esta violação de dados da McKesson devem assumir alguma exposição de informações pessoais até que seja emitida orientação mais concreta.

Principais Conclusões

A violação de dados da McKesson é um lembrete de que os riscos de privacidade na saúde se estendem muito além das paredes dos hospitais e clínicas, chegando aos fornecedores e plataformas na nuvem que tratam silenciosamente dados de pacientes em grande escala. Reveja cuidadosamente quaisquer notificações de violação que receba, monitorize as suas contas médicas e financeiras para atividade invulgar, e considere congelar o seu crédito se suspeitar que as suas informações fizeram parte desta exposição. À medida que as investigações a este incidente continuam, manter-se informado através de atualizações verificadas da McKesson e dos reguladores continua a ser a melhor forma de se proteger após o sucedido.