Breșa de date Hims expune înregistrări medicale sensibile

Gigantul de telemedicină Hims, lovit de o breșă de date care expune înregistrări medicale

Compania de telemedicină Hims & Hers Health a confirmat o breșă de date care a expus unele dintre cele mai sensibile categorii de informații personale pe care o companie le poate deține: Informații de Sănătate Protejate (PHI). Breșa a avut loc după ce actorii amenințărilor au obținut acces neautorizat la o platformă terță de suport pentru clienți utilizată de companie. Datele expuse au inclus informații conținute în tichetele de suport pentru clienți, ceea ce într-un context de telemedicină înseamnă detalii legate de rețete, consultații medicale și afecțiuni de sănătate personale.

Grupul de hackeri ShinyHunters și-a revendicat responsabilitatea pentru atac. Grupul este bine cunoscut în cercurile de securitate cibernetică pentru operațiuni de furt de date la scară largă și a fost asociat cu mai multe breșe de profil înalt în ultimii ani. Implicarea lor ridică imediat îngrijorări cu privire la ce se întâmplă în continuare cu datele furate, inclusiv potențialul de extorcare, revânzarea pe piețele darkweb sau campanii de phishing țintite împotriva utilizatorilor afectați.

De ce furnizorii terți reprezintă o verigă slabă în securitatea din domeniul sănătății

Unul dintre cele mai importante detalii ale acestei breșe este locul unde s-a produs: nu în infrastructura de bază a Hims, ci printr-o platformă terță de suport pentru clienți. Acesta este un tipar care a devenit din ce în ce mai frecvent și din ce în ce mai grav ca impact.

Companiile mari externalizează în mod obișnuit funcții precum suportul pentru clienți, facturarea și stocarea datelor către furnizori specializați. Fiecare dintre acești furnizori devine o extensie a suprafeței de atac a companiei. Când un utilizator se înregistrează la un serviciu de telemedicină, nu acordă încredere doar acelei companii cu datele sale. Acordă încredere și fiecărui furnizor, contractant și furnizor de software cu care compania colaborează.

Acest lucru este deosebit de problematic în domeniul sănătății. Conform legislației americane, companiile care gestionează PHI sunt obligate să se asigure că asociații lor de afaceri și furnizorii îndeplinesc standardele de conformitate HIPAA. Dar conformitatea pe hârtie nu se traduce întotdeauna în securitate eficientă în lumea reală. O companie bine finanțată precum Hims poate investi masiv în propriile apărări, rămânând totodată expusă printr-un furnizor cu controale mai slabe.

Breșa de la Hims nu este un caz izolat. Companiile din domeniul sănătății și al telemedicinei au devenit ținte principale tocmai pentru că datele pe care le dețin sunt extrem de valoroase. Înregistrările medicale se vând la prețuri semnificativ mai mari pe piețele criminale decât numerele de carduri de credit, deoarece conțin informații care nu pot fi schimbate cu ușurință și pot fi utilizate pentru fraudă la asigurări, furt de identitate și inginerie socială țintită.

Ce înseamnă aceasta pentru tine

Dacă ești client Hims sau Hims & Hers, ar trebui să presupui că informațiile pe care le-ai împărtășit prin canalele de suport pentru clienți ar putea fi expuse. Acestea ar putea include numele tău, datele de contact și detalii despre consultații medicale sau rețete pe care le-ai discutat cu echipa de suport.

Mai general, această breșă este un memento util cu privire la riscurile care vin odată cu stocarea informațiilor personale sensibile în sisteme centralizate. Platformele de telemedicină sunt construite în jurul comodității, iar această comoditate înseamnă adesea consolidarea datelor tale de sănătate în moduri care creează ținte atractive pentru atacatori. Cu cât o companie deține mai multe date și cu cât le partajează cu mai mulți furnizori, cu atât raza potențială de impact este mai mare atunci când ceva merge prost.

Aceasta nu înseamnă că ar trebui să eviți serviciile de telemedicină. Pentru mulți oameni, acestea oferă acces la îngrijire care altfel ar fi dificil sau costisitor de obținut. Dar înseamnă că ar trebui să te gândești cu atenție la ce informații împărtășești prin orice platformă digitală de sănătate, inclusiv prin tichete de suport și funcții de chat, care pot fi stocate și procesate în afara sistemelor principale ale companiei.

Pași concreți după o breșă de date medicale

Dacă folosești Hims & Hers sau o platformă similară de telemedicină, iată câțiva pași concreți care merită urmați chiar acum:

• Monitorizează tentativele de phishing. Atacatorii care obțin date legate de sănătate le folosesc adesea pentru a elabora mesaje de phishing extrem de convingătoare. Fii sceptic față de orice e-mailuri sau mesaje nesolicitate care fac referire la afecțiunile tale de sănătate, medicamente sau interacțiuni anterioare cu platforma.
• Verifică-ți conturile. Revizuiește contul tău Hims și orice metode de plată asociate pentru activități neobișnuite. Raportează orice activitate suspectă atât platformei, cât și instituției tale financiare.
• Fii atent la frauda de identitate. Furtul de identitate medicală, în care cineva folosește informațiile tale pentru a obține în mod fraudulos rețete sau beneficii de asigurare, poate fi dificil de detectat. Ia în considerare plasarea unui avertisment de fraudă la principalele birouri de credit și monitorizează extrasele de asigurare pentru servicii pe care nu le-ai primit.
• Limitează ce împărtășești în tichetele de suport. Pe viitor, ține cont că canalele de suport pentru clienți ale oricărei companii pot fi gestionate de furnizori terți cu propria lor postură de securitate. Evită să oferi mai multe detalii decât este strict necesar.
• Rămâi informat cu privire la breșă. Urmărește comunicările oficiale din partea Hims despre amploarea incidentului și orice măsuri de remediere pe care le oferă, cum ar fi servicii de monitorizare a creditului.

Breșele de date la companiile din domeniul sănătății nu vor dispărea. Pe măsură ce tot mai multe servicii de sănătate se mută online, cantitatea de date medicale sensibile deținute de platformele digitale va continua să crească. A fi un utilizator atent și informat al acestor servicii este una dintre cele mai eficiente apărări disponibile oamenilor obișnuiți. A înțelege cine îți deține datele și ce face cu ele este un punct de plecare rezonabil pentru a te proteja.