Утечка 1,8 млн записей NYC Health вошла в число новых инцидентов, зафиксированных HHS
Трекер утечек Министерства здравоохранения и социальных служб США добавил в свой публичный журнал несколько значительных утечек данных в сфере здравоохранения, крупнейшая из которых затронула 1,8 миллиона человек, связанных с Корпорацией здравоохранения и больниц Нью-Йорка. В результате отдельного инцидента в Erie Family Health Centers были скомпрометированы личные, медицинские и финансовые данные ещё 570 000 человек. Вместе эти инциденты подчёркивают устойчивые и нарастающие риски для конфиденциальности медицинских данных, с которыми сталкиваются миллионы американцев каждый раз, когда они обращаются к медицинскому провайдеру.
Что трекер утечек HHS раскрывает об этих инцидентах
Портал утечек HHS, поддерживаемый в соответствии с Правилом уведомления об утечках HIPAA, функционирует как публичный реестр значительных инцидентов с медицинскими данными, затрагивающих 500 и более человек. Когда появляются новые записи, это сигнализирует о том, что пострадавшие организации выполнили свои обязательные требования по уведомлению — иногда спустя месяцы после того, как первоначальная утечка произошла.
Запись о Корпорации здравоохранения и больниц Нью-Йорка примечательна по двум причинам: из-за своего масштаба и источника. Утечка произошла не в результате прямой атаки на больничные системы, а вследствие компрометации стороннего поставщика. Erie Family Health Centers — федерально квалифицированный центр здоровья, обслуживающий малообеспеченные сообщества в Иллинойсе, — сообщил, что его утечка раскрыла особенно чувствительную комбинацию типов данных, включая персональные идентификаторы, медицинскую информацию и финансовые сведения. Этот тройной удар делает жертв особенно уязвимыми сразу для нескольких форм мошенничества одновременно.
Почему медицинские записи опаснее большинства похищенных данных
Украденный номер кредитной карты — это неприятно, но его можно заблокировать в течение нескольких минут. Украденная медицинская запись — это совершенно другое дело. Медицинские данные содержат информацию, которую невозможно изменить: даты рождения, номера социального страхования, номера страховых полисов, историю диагнозов и записи о рецептах. На подпольных рынках полные медицинские профили, как правило, стоят значительно дороже стандартных финансовых учётных данных.
Опасность усугубляется тем, что кража медицинской идентичности нередко остаётся незамеченной месяцами или даже годами. Злоумышленник, использующий похищенные страховые данные для получения рецептов или подачи мошеннических претензий, как правило, не оставляет немедленных следов на банковском счёте жертвы. К тому времени, когда мошенничество всплывает — через отказ в страховом возмещении или неожиданный медицинский счёт, — ущерб уже значителен и его сложно устранить.
Медицинские записи также создают почву для целевого фишинга. Злоумышленник, знающий имя вашего врача, ваши недавние диагнозы и вашего страховщика, может создавать убедительные сообщения, которые обходят скептицизм, который большинство людей применяют к обычным мошенническим письмам.
Как сторонние поставщики стали слабым звеном в защите конфиденциальности пациентов
Утечка в NYC Health вписывается в закономерность, которая доминирует в инцидентах безопасности здравоохранения на протяжении нескольких лет. Больницы и системы здравоохранения опираются на разветвлённые экосистемы поставщиков программного обеспечения, процессоров выставления счетов, телемедицинских платформ, инструментов записи на приём и фирм по аналитике данных. Каждая из этих третьих сторон получает доступ к данным пациентов для выполнения своих договорных функций, и каждая представляет дополнительную поверхность атаки, которую сама медицинская организация не контролирует в полной мере.
Регуляторные механизмы обязывают покрываемые организации подписывать Соглашения с деловыми партнёрами с поставщиками, устанавливая обязательства по защите данных. Однако эти соглашения не автоматически обеспечивают эквивалентный уровень безопасности. Крупный академический медицинский центр может располагать зрелой программой безопасности, тогда как используемый им поставщик программного обеспечения для записи на приём работает под значительно меньшим контролем.
Эта динамика не уникальна для здравоохранения. Уязвимости на уровне серверов в различных отраслях регулярно раскрывают данные, хранящиеся у поставщиков, а не у основных организаций, которым доверяют пациенты или клиенты. Понимание того, что ваши данные перемещаются далеко за пределы стен кабинета вашего врача, является важнейшей частью управления собственными рисками конфиденциальности. Подробнее о том, как уязвимости на уровне инфраструктуры затрагивают данные в масштабе, можно прочитать в материале об эксплойте обхода аутентификации cPanel, поразившем десятки тысяч серверов, который иллюстрирует, как одна уязвимость в широко используемом программном обеспечении может каскадно затронуть тысячи организаций одновременно.
Практические шаги по защите конфиденциальности для пациентов, взаимодействующих с провайдерами онлайн
Хотя отдельные пациенты не могут проводить аудит отношений своего провайдера с поставщиками, существуют конкретные шаги, которые снижают уязвимость и повышают способность своевременно обнаружить мошенничество.
Во-первых, периодически запрашивайте копию своих медицинских записей. Их изучение позволяет выявить незнакомые процедуры, рецепты или имена провайдеров, которые могут свидетельствовать о том, что кто-то использовал вашу личность для получения медицинской помощи. В соответствии с HIPAA вы имеете право на доступ к своим записям, и большинство провайдеров обязаны выполнять запросы в течение 30 дней.
Во-вторых, свяжитесь со своим медицинским страховщиком и запросите сводку объяснений выгод за прошедший год. Любые претензии, которые вы не признаёте, требуют немедленного уточнения. Многие страховщики теперь предлагают бесплатные оповещения о мониторинге необычной страховой активности.
В-третьих, рассмотрите возможность введения заморозки кредита во всех трёх крупных бюро. Кража медицинской идентичности нередко приводит к появлению счетов в коллекторских агентствах и мошеннических кредитных линий, а заморозка предотвращает открытие новых счетов на ваше имя без вашего явного согласия.
В-четвёртых, используйте уникальные надёжные пароли для любых учётных записей на пациентских порталах — например, тех, которые используются для просмотра результатов анализов или записи на приём. Эти порталы хранят крайне чувствительные данные, однако нередко защищены лишь слабыми учётными данными, которые пациенты повторно используют в других сервисах. Использование отдельного адреса электронной почты для медицинских учётных записей также ограничивает масштаб ущерба в случае компрометации одной из других ваших учётных записей.
Наконец, следите за более широкой нормативной и законодательной средой, которая определяет порядок обращения с вашими данными. Недавнее законодательство на уровне штатов в области цифровой конфиденциальности, такое как закон Юты SB 73 о верификации возраста, отражает растущее осознание законодателями того, что онлайн-потоки данных требуют более строгих ограничений. Наблюдение за развитием этих политик поможет вам понять, какие меры защиты вашей информации существуют, а каких нет.
Что это означает для вас
Добавление этих утечек в трекер HHS напоминает о том, что риски для конфиденциальности медицинских данных не являются гипотетическими. Только в этих двух инцидентах были раскрыты конфиденциальные данные миллионов людей, а трекер фиксирует сотни инцидентов ежегодно.
Ваши наиболее эффективные инструменты — это мониторинг, раннее обнаружение и ограничение ненужного обмена данными везде, где это возможно. Спрашивайте своих провайдеров, какие сторонние поставщики получают ваши данные и в каких целях. Регулярно проверяйте свои записи и страховые выписки. И относитесь к учётным данным на пациентском портале с той же серьёзностью, что и к своим финансовым счетам. Эти шаги не предотвратят взлом поставщика, но значительно повышают ваши шансы обнаружить мошенничество до того, как оно нанесёт долгосрочный ущерб.
