Телемедицинский гигант Hims пострадал от утечки данных с раскрытием медицинских записей

Телемедицинская компания Hims & Hers Health подтвердила утечку данных, в результате которой была раскрыта одна из наиболее чувствительных категорий персональной информации, которую может хранить компания: защищённая медицинская информация (PHI). Утечка произошла после того, как злоумышленники получили несанкционированный доступ к сторонней платформе клиентской поддержки, которую использует компания. В число скомпрометированных данных вошла информация из тикетов службы поддержки, что в контексте телемедицины означает сведения, связанные с рецептами, медицинскими консультациями и личными состояниями здоровья.

Хакерская группа ShinyHunters взяла на себя ответственность за атаку. Группа широко известна в сообществе специалистов по кибербезопасности масштабными операциями по краже данных и причастна к ряду громких утечек последних лет. Их участие немедленно порождает опасения относительно дальнейшей судьбы похищенных данных — включая возможность вымогательства, перепродажи на теневых рынках или целенаправленных фишинговых атак против пострадавших пользователей.

Почему сторонние поставщики являются слабым звеном в системе безопасности здравоохранения

Один из наиболее важных аспектов этой утечки — место её возникновения: не внутри основной инфраструктуры Hims, а через стороннюю платформу клиентской поддержки. Это закономерность, которая становится всё более распространённой и всё более значимой по своим последствиям.

Крупные компании регулярно передают на аутсорсинг такие функции, как клиентская поддержка, выставление счетов и хранение данных, специализированным поставщикам. Каждый из этих поставщиков становится расширением поверхности атаки компании. Когда пользователь регистрируется в телемедицинском сервисе, он доверяет свои данные не только этой компании, но и каждому поставщику, подрядчику и разработчику программного обеспечения, с которыми она работает.

Это особенно проблематично в сфере здравоохранения. По законодательству США компании, работающие с PHI, обязаны обеспечивать соответствие требованиям HIPAA со стороны своих бизнес-партнёров и поставщиков. Однако соответствие нормативам на бумаге не всегда означает эффективную безопасность на практике. Хорошо финансируемая компания, подобная Hims, может значительно вкладывать в собственную защиту и при этом оставаться уязвимой через поставщика с более слабыми средствами контроля.

Утечка у Hims — не единичный случай. Компании в сфере здравоохранения и телемедицины стали первоочередными мишенями именно потому, что хранимые ими данные чрезвычайно ценны. Медицинские записи стоят значительно дороже на криминальных рынках, чем номера кредитных карт, поскольку содержат информацию, которую невозможно легко изменить, и которую можно использовать для страхового мошенничества, кражи личных данных и целенаправленной социальной инженерии.

Что это означает для вас

Если вы являетесь клиентом Hims или Hims & Hers, следует исходить из того, что информация, которую вы передавали через каналы клиентской поддержки, могла быть раскрыта. Это может включать ваше имя, контактные данные, а также сведения о медицинских консультациях или рецептах, которые вы обсуждали с командой поддержки.

В более широком смысле эта утечка служит полезным напоминанием о рисках, связанных с хранением конфиденциальных персональных данных в централизованных системах. Телемедицинские платформы построены на принципе удобства, и это удобство нередко предполагает консолидацию медицинских данных способами, которые создают привлекательные цели для злоумышленников. Чем больше данных хранит компания и чем большему числу поставщиков она их передаёт, тем масштабнее потенциальный ущерб в случае инцидента.

Это не означает, что вам следует избегать телемедицинских сервисов. Для многих людей они обеспечивают доступ к медицинской помощи, которую иначе было бы сложно или дорого получить. Однако это означает, что следует тщательно обдумывать, какой информацией вы делитесь через любую цифровую медицинскую платформу — в том числе через тикеты поддержки и функции чата, которые могут храниться и обрабатываться за пределами основных систем компании.

Практические шаги после утечки медицинских данных

Если вы пользуетесь Hims & Hers или аналогичной телемедицинской платформой, вот ряд конкретных шагов, которые стоит предпринять прямо сейчас:

  • Следите за попытками фишинга. Злоумышленники, получившие данные, связанные со здоровьем, нередко используют их для составления весьма убедительных фишинговых сообщений. Проявляйте скептицизм в отношении любых незапрошенных писем или сообщений, в которых упоминаются ваши состояния здоровья, лекарственные препараты или предыдущие взаимодействия с платформой.
  • Проверьте свои аккаунты. Проверьте свой аккаунт Hims и все привязанные способы оплаты на предмет подозрительной активности. О любых подозрительных операциях сообщайте как платформе, так и своему финансовому учреждению.
  • Следите за мошенничеством с персональными данными. Кража медицинских данных — когда кто-то использует вашу информацию для мошеннического получения рецептов или страховых льгот — может быть трудно обнаруживаемой. Рассмотрите возможность установки предупреждения о мошенничестве в крупных бюро кредитных историй и отслеживайте выписки вашей страховой компании на предмет услуг, которые вы не получали.
  • Ограничьте информацию, которую вы сообщаете в тикетах поддержки. В дальнейшем помните, что каналы клиентской поддержки в любой компании могут обслуживаться сторонними поставщиками с собственным уровнем безопасности. Избегайте сообщать больше деталей, чем это строго необходимо.
  • Следите за информацией об утечке. Отслеживайте официальные сообщения от Hims о масштабах инцидента и любых предлагаемых мерах по устранению последствий, например услугах кредитного мониторинга.

Утечки данных в медицинских компаниях никуда не исчезнут. По мере того как всё больше медицинских услуг переходит в онлайн, объём конфиденциальных медицинских данных, хранимых цифровыми платформами, будет только расти. Осознанное и внимательное использование этих сервисов — одна из наиболее эффективных мер защиты, доступных рядовым пользователям. Понимание того, кто хранит ваши данные и что с ними делает, — разумная отправная точка для обеспечения собственной безопасности.