Breșa de securitate NYC Health and Hospitals expune 1,8 milioane de amprente și dosare medicale
New York City Health and Hospitals (NYCHH) a dezvăluit una dintre cele mai mari breșe de date din istoricul spitalelor publice ale orașului. O compromitere a rețelei care a durat mai multe luni, atribuită unui furnizor terț, a condus la furtul unor informații personale, medicale și biometrice sensibile aparținând a cel puțin 1,8 milioane de persoane. Printre datele furate s-au numărat și amprentele digitale, un detaliu care transformă acest incident dintr-o gravă încălcare a vieții private într-una potențial ireversibilă pentru cei afectați.
Această breșă este un avertisment clar cu privire la motivul pentru care confidențialitatea biometrică în contextul breșelor de date din domeniul sănătății merită mult mai multă atenție decât primește în mod obișnuit. Dosarele medicale sunt deja printre cele mai sensibile categorii de date personale, dar includerea amprentelor digitale ridică semnificativ miza.
Ce a fost furat și cât timp au avut hackerii acces
Conform dezvăluirilor, atacatorii au menținut accesul la rețea o perioadă îndelungată înainte de a fi detectați. Acest tip de intruziune prelungită, uneori numită breșă cu „timp de rezidență", este deosebit de dăunătoare deoarece le oferă atacatorilor posibilitatea de a cartografia sistemele, de a exfiltra volume mari de date și de a-și acoperi urmele.
Informațiile furate includ, conform rapoartelor, o combinație de informații cu caracter personal identificabil (PII), informații de sănătate protejate (PHI) și date biometrice. Ultima categorie este cea care diferențiază acest incident de zecile de breșe din domeniul sănătății raportate în fiecare an. Amprentele digitale nu expiră. Nu pot fi resetate. Odată ce datele dumneavoastră biometrice ajung în mâinile unui actor malițios, această expunere este permanentă.
De ce datele biometrice, precum amprentele, sunt deosebit de periculoase odată divulgate
Majorității victimelor breșelor de date li se recomandă să-și schimbe parolele, să blocheze accesul la credit sau să-și monitorizeze conturile financiare. Acești pași au o valoare reală. Dar niciunul dintre ei nu se aplică atunci când datele furate sunt amprente digitale.
Autentificarea biometrică funcționează tocmai pentru că aceste trăsături sunt unice și stabile. Amprentele digitale, geometria facială, modelele irisului și identificatorii similari sunt utilizați din ce în ce mai mult pentru deblocarea dispozitivelor, autorizarea plăților, verificarea identității medicale și controlul accesului la facilități securizate. Aceleași proprietăți care le fac utile ca mijloace de autentificare fac și furtul lor catastrofal. Nu vă puteți emite singur o nouă amprentă digitală, așa cum o bancă emite un nou număr de card.
Dacă șabloanele de amprente furate sunt folosite pentru a falsifica sistemele biometrice, victimele s-ar putea să nu aibă nicio modalitate fiabilă de a detecta sau opri accesul neautorizat. Acesta nu este un risc teoretic. Pe măsură ce autentificarea biometrică devine mai comună în mediile medicale, valoarea șabloanelor biometrice furate pentru atacatorii sofisticați crește în consecință.
Problema furnizorilor terți în securitatea din domeniul sănătății
Ceea ce face această breșă semnificativă din punct de vedere structural este originea sa: un furnizor terț. NYCHH în sine nu a fost penetrat direct în sensul tradițional. Atacatorii au compromis un furnizor cu acces la rețeaua sistemului spitalicesc și au folosit acel punct de intrare pentru a accesa datele pacienților.
Acesta este un tipar de atac din ce în ce mai frecvent în toate industriile, dar este deosebit de pronunțat în domeniul sănătății. Spitalele și sistemele de sănătate publică se bazează pe rețele extinse de contractori externi, furnizori de software, servicii de facturare și furnizori de echipamente. Fiecare conexiune reprezintă un potențial punct de intrare. Securitatea sistemului global este la fel de solidă ca și cea a celei mai vulnerabile verigi din lanțul furnizorilor.
Provocarea pentru instituțiile mari precum NYCHH este că nu pot controla întotdeauna practicile de securitate ale fiecărui terț cu care colaborează. Ceea ce pot controla este modul în care verifică furnizorii, ce acces la date le acordă și dacă datele sensibile sunt criptate în moduri care le fac inutilizabile chiar dacă sunt interceptate. În acest caz, breșa a persistat luni de zile fără a fi detectată, sugerând că monitorizarea activității în rețea a terților s-ar putea să nu fi fost suficient de robustă pentru a detecta intruziunea din timp.
Organizațiile din domeniul sănătății care gestionează date biometrice, în special, ar trebui să trateze aceste informații cu cel mai înalt nivel de criptare și controale de acces disponibile, având în vedere că compromiterea lor nu are niciun remediu.
Cum pot persoanele fizice să-și protejeze mai bine confidențialitatea medicală și biometrică
Pentru cele 1,8 milioane de persoane afectate de această breșă, pașii imediați sunt limitați, dar importanți. Dacă NYCHH trimite scrisori de notificare privind breșa, citiți-le cu atenție pentru îndrumări specifice privind datele implicate și dacă sunt oferite servicii de monitorizare a creditului sau de protecție a identității.
Mai general, oricine interacționează cu sisteme medicale ar trebui să se gândească la igiena sa digitală în moduri care depășesc granițele spitalului. Atunci când utilizați portaluri pentru pacienți, aplicații de sănătate sau servicii de telemedicină pe rețele publice sau partajate, activitatea dvs. de navigare și autentificare legată de sănătate poate fi expusă. Utilizarea unui VPN de încredere la accesarea conturilor medicale pe Wi-Fi public adaugă un strat semnificativ de criptare conexiunii dvs., reducând riscul interceptării datelor de autentificare.
Înțelegerea modului în care funcționează autentificarea biometrică și a motivului pentru care furtul acesteia este ireversibil reprezintă, de asemenea, un context util pentru evaluarea serviciilor cărora le încredințați acești identificatori. Când o platformă solicită o amprentă digitală sau o scanare facială, merită să întrebați cum sunt stocate acele date, dacă sunt păstrate ca șablon brut sau convertite într-un hash criptat, și cum arată istoricul breșelor furnizorului.
Ce înseamnă acest lucru pentru dumneavoastră
Dacă ați primit îngrijiri medicale prin New York City Health and Hospitals și nu ați primit încă o notificare privind breșa, urmăriți cu atenție corespondența poștală și electronică. Luați în considerare blocarea creditului la principalele birouri de credit ca măsură de precauție, deoarece furtul de identitate medicală implică adesea cereri de asigurare frauduloase și facturare în numele victimei.
Pentru toți ceilalți, această breșă este un semnal pentru a audita datele biometrice pe care le partajați cu furnizorii de servicii medicale și aplicațiile de sănătate. Comoditatea autentificării prin amprentă este reală, dar la fel este și caracterul permanent al expunerii acesteia. Alegerea serviciilor care minimizează retenția datelor biometrice și asigurarea că activitatea dvs. online legată de sănătate este protejată cu instrumente de criptare atunci când vă aflați pe rețele nesigure sunt pași practici disponibili chiar acum.
Confidențialitatea biometrică în contextul breșelor de date din domeniul sănătății nu este o preocupare abstractă de politică. Pentru 1,8 milioane de newyorkezi, este acum o realitate trăită fără nicio rezolvare simplă. Cel mai bun răspuns este să rămâneți informat, să acționați conform îndrumărilor oficiale ale NYCHH și să construiți obiceiuri care să limiteze expunerea viitoare oriunde este posibil.
