Что произошло в утечке данных Craneware

Craneware, британский поставщик программного обеспечения для выставления счетов и управления циклом доходов в здравоохранении, подтвердил, что подвергся кибератаке, в ходе которой были скомпрометированы данные сотрудников и клиентов. Компания работает более чем с 2000 больницами в США, а это значит, что последствия этого инцидента выходят далеко за пределы штаб-квартиры Craneware в Шотландии и глубоко затрагивают американские системы здравоохранения, зависящие от её платёжной инфраструктуры.

Craneware уведомила ФБР и британские регулирующие органы об утечке — шаг, который свидетельствует как о серьёзности вторжения, так и о его трансграничных последствиях. Поскольку компания работает с конфиденциальными финансовыми и платёжными данными пациентов для значительной части сети американских больниц, любая компрометация её систем немедленно ставит вопросы перед больницами, пациентами и персоналом, чья информация могла проходить через платформы Craneware.

На данный момент подтверждённые факты просты: злоумышленники получили доступ к системам Craneware, были затронуты данные сотрудников и клиентов, к расследованию подключились правоохранительные органы и регуляторы по обе стороны Атлантики. Остаётся менее ясным полный масштаб того, какие именно записи были похищены и сколько людей в конечном итоге потребуется уведомить.

Какие данные были раскрыты и кто пострадал

Поскольку Craneware предоставляет программное обеспечение для выставления счетов, а не оказывает непосредственную медицинскую помощь, раскрытые данные, вероятно, включают как записи сотрудников, так и информацию клиентов (со стороны больниц), связанную с платёжными отношениями, которыми управляет Craneware. Учитывая, что платформы для выставления счетов в здравоохранении обычно обрабатывают финансовые детали, страховую информацию и административные записи наряду с идентификаторами пациентов, такой тип утечки несёт такой же вторичный риск для пациентов, как и прямая утечка из больницы, даже если первоначальной целью был сторонний поставщик.

В этом и заключается главная проблема утечек данных у поставщиков в здравоохранении: пациенты редко имеют прямые отношения с такими компаниями, как Craneware, но их данные всё равно могут быть вовлечены в инцидент, потому что поставщик находится в центре процессов выставления счетов и управления циклом доходов. Более 2000 американских больниц, подключённых к системам Craneware, означают, что потенциальный радиус поражения — с точки зрения учреждений, которым, возможно, придётся выпускать собственные уведомления, — значителен, даже если количество отдельных пациентов, в итоге признанных пострадавшими, окажется меньше.

Эта схема должна казаться знакомой. Она во многом повторяет то, что произошло с утечкой 192,7 млн записей Change Healthcare, когда единственный клиринговый центр, обрабатывающий платежи и страховые транзакции для большой части системы здравоохранения США, стал точкой отказа для огромного числа конечных пациентов и поставщиков. Платёжные посредники по своей природе находятся в узком месте, где огромные объёмы конфиденциальных данных проходят через инфраструктуру одного поставщика.

Как защитить свои медицинские данные после утечки в платёжной системе

Если вы получали медицинскую помощь в больнице, работающей с Craneware, или просто хотите проявить осторожность, учитывая, насколько распространёнными стали такие утечки на стороне поставщиков, стоит предпринять конкретные шаги сейчас, не дожидаясь официального уведомления.

Во-первых, следите за официальными сообщениями от вашей больницы или системы здравоохранения, а не только от самой Craneware. Больницы, как правило, сами направляют прямые уведомления пострадавшим пациентам, поскольку именно с ними у вас фактические отношения по оказанию помощи. Остерегайтесь фишинговых писем или звонков, ссылающихся на утечку, поскольку такие инциденты часто используют мошенники, выдающие себя за больницы или платёжные отделы.

Во-вторых, рассмотрите возможность установки предупреждения о мошенничестве или заморозки кредита в основных кредитных бюро, если могла быть затронута платёжная или финансовая информация. Данные медицинских счетов часто содержат страховые идентификаторы и платёжные реквизиты, которые могут быть использованы для финансового мошенничества, а не только для кражи медицинских данных.

В-третьих, подключитесь к мониторингу кредитоспособности, если он предлагается в рамках реагирования на утечку, и периодически проверяйте свои кредитные отчёты, даже если этого не предлагают. Сочетание мониторинга кредита с тщательной гигиеной учётных записей — например, уникальные пароли для пациентских порталов и включение двухфакторной аутентификации, где это возможно, — снижает вероятность того, что украденные учётные данные приведут к дальнейшему захвату аккаунтов.

Наконец, при доступе к пациентским порталам, платёжным аккаунтам или страховым сайтам из публичных или общих сетей использование VPN добавляет уровень защиты от перехвата, что особенно полезно при более тщательном мониторинге ваших учётных записей в течение нескольких недель после уведомления об утечке.

Почему платёжная инфраструктура здравоохранения продолжает подвергаться атакам

Системы выставления счетов в здравоохранении стали привлекательной мишенью именно потому, что они находятся на стыке финансовых данных, страховой информации и записей пациентов, и всё это обрабатывается в масштабе сотен или тысяч клиентских учреждений одновременно. Успешная атака на одного поставщика может принести данные, связанные с десятками или сотнями больниц одновременно, что делает такие компании непропорционально ценными целями по сравнению с атаками на отдельные больницы по очереди.

Инцидент с Craneware, следующий тому же сценарию, что и другие крупномасштабные утечки в сфере выставления счетов и клиринга, подчёркивает, что уязвимость не обязательно связана с уровнем безопасности отдельной больницы. Это общая инфраструктура, которая соединяет тысячи учреждений с небольшим числом поставщиков, создавая концентрированный риск, которым злоумышленники научились многократно пользоваться.

Что это значит для вас

Если вы получали медицинскую помощь в США в последние годы, вполне вероятно, что ваши платёжные данные в какой-то момент проходили через систему наподобие Craneware. Эта утечка не обязательно означает, что ваши конкретные записи были украдены, но это сигнал укрепить собственную защиту в любом случае. Утечка данных Craneware в сфере медицинских платежей напоминает нам, что пациенты часто почти не видят, какие сторонние поставщики обрабатывают их информацию, что делает личную бдительность, а не только доверие к институциональной безопасности, важной частью защиты ваших данных.

Практические выводы

  • Следите за официальными уведомлениями от вашей больницы или системы здравоохранения относительно утечки данных Craneware и проверяйте любые сообщения по официальным каналам, прежде чем переходить по ссылкам.
  • Установите предупреждение о мошенничестве или заморозьте кредит, если подозреваете, что могли быть раскрыты платёжные или финансовые данные.
  • Подключите мониторинг кредитоспособности и проверяйте свои кредитные отчёты в ближайшие месяцы.
  • Используйте надёжные, уникальные пароли и двухфакторную аутентификацию для всех пациентских порталов и платёжных учётных записей.
  • Пользуйтесь VPN при доступе к конфиденциальным медицинским учётным записям в публичных или общих сетях Wi-Fi.