Quest Diagnostics сообщила регуляторам, что несанкционированная сторона получила доступ к одной из её систем и что «определённые записи пациентов» могут быть затронуты. Раскрытие информации, сделанное в нормативном документе и освещённое SecurityWeek, касается Quanum Lab Services Manager — платформы, через которую определённые клиенты могут размещать заказы на анализы. Подробности пока ограничены, но история об утечке данных пациентов Quest Diagnostics уже предлагает полезные уроки для всех, кто когда-либо сдавал анализы крови или другие лабораторные анализы в Соединённых Штатах.

Что Quest раскрыла об утечке Quanum

Согласно исходному отчёту, Quest Diagnostics сообщила о несанкционированном доступе к Quanum Lab Services Manager в нормативном документе. Платформа используется определёнными клиентами, то есть поставщиками медицинских услуг и подобными организациями, для размещения заказов на лабораторные анализы. Это не потребительское приложение, в которое большинство пациентов входят самостоятельно.

Компания заявила, что, по её мнению, были затронуты определённые записи пациентов. Освещение документа также указывает на то, что полный масштаб всё ещё расследуется. Некоторые сообщения в социальных сетях, циркулирующие об инциденте, содержат более широкие утверждения, в том числе о том, какие типы данных были раскрыты. Поскольку сам документ описан только в общих чертах, к этим утверждениям следует относиться с осторожностью, пока Quest или регуляторы не опубликуют больше подробностей.

То, что мы можем сказать с уверенностью, ограничено: доступ к клиентской платформе для размещения заказов был получен без авторизации, некоторые записи пациентов, как считается, затронуты, и расследование продолжается. Читателям следует ожидать, что картина изменится по мере того, как компания узнает больше.

Почему платформы для заказа анализов — слабое место в конфиденциальности медицинских данных

Большинство людей думают о лаборатории как об одной организации. На практике анализ включает цепочку сторон: кабинет вашего врача, лабораторию, биллинговые системы и программное обеспечение, которое их связывает. Портал вроде Quanum существует для того, чтобы внешние клиенты могли отправлять заказы и получать информацию, а значит, он по своей конструкции хранит данные пациентов и доступен множеству пользователей из множества мест.

Такое сочетание создаёт риск. Каждый подключённый клиент — это ещё один набор учётных данных, устройств и сотрудников, которые могут стать целью. Система, построенная для удобства многих организаций, также является ценной единой точкой доступа для злоумышленника. Вы можете никогда не слышать об этой платформе, но ваши записи могут проходить через неё просто потому, что ваш поставщик услуг выбрал конкретную лабораторию.

Именно поэтому пациенты часто узнают об утечке из вторых рук. Организация, с которой вы взаимодействовали напрямую, может быть не той, которая была скомпрометирована, поэтому уведомления могут приходить от компании, которую вы не узнаёте.

Что это значит для вас

Если вы пользовались услугами Quest Diagnostics напрямую или через врача, практический совет — сохранять бдительность, а не паниковать. Затронуты не все пациенты, и компания не опубликовала полный список раскрытых данных.

Вот что делать сейчас:

  • Следите за почтой и электронной почтой в ожидании уведомления. Организации, пережившие утечку, затрагивающую персональные данные, как правило, обязаны уведомлять затронутых людей. Внимательно прочитайте любое уведомление и сохраните копию.
  • Рассмотрите заморозку кредита. Заморозка бесплатна и ограничивает возможность кого-либо открыть новый кредит на ваше имя. Это разумная мера предосторожности, если в уведомлении говорится, что были затронуты идентифицирующие данные.
  • Скептически относитесь к неожиданным сообщениям о вашем здоровье. Тексты, звонки или электронные письма, упоминающие результаты анализов, выставление счетов или «проверку ваших записей», могут быть попытками фишинга. Свяжитесь с Quest или вашим поставщиком услуг по номеру телефона или через сайт, которые вы нашли сами, а не по тем, что указаны в сообщении.
  • Проверяйте свои счета и выписки. Проверяйте активность в банковских, страховых и медицинских порталах на предмет чего-либо незнакомого и своевременно сообщайте о проблемах.
  • Укрепите свои учётные данные. Используйте уникальные пароли и многофакторную аутентификацию на порталах пациентов, в электронной почте и финансовых аккаунтах.

Как украденные медицинские данные используются после утечки

Медицинская информация привлекательна, поскольку сочетает идентификационные данные с чувствительным контекстом. Преступники могут использовать её для создания убедительных фишинговых сообщений, ссылающихся на реального поставщика услуг или реальный анализ, что повышает вероятность того, что люди кликнут или поделятся дополнительной информацией. Идентификационные данные также могут использоваться в попытках мошенничества.

Есть и второе применение, ставшее более распространённым: давление. Украденные записи могут использоваться против организации как рычаг, при этом злоумышленники угрожают опубликовать их, если требования не будут выполнены. Наш разбор о том, как репутация стала оружием в вымогательстве данных при программах-вымогателях объясняет, почему украденные данные стали инструментом торга. В исходном отчёте о Quest не говорится, что здесь имеет место вымогательство, поэтому это контекст, а не утверждение об этом инциденте.

Также стоит отметить, что рекомендации после утечки могут различаться в зависимости от того, что было похищено. В одном несвязанном случае компания гостиничного бизнеса рекомендовала затронутым гостям физически заменить свои паспорта и водительские удостоверения после раскрытия документов, удостоверяющих личность. Эта компания не связана с Quest Diagnostics, но пример показывает, почему конкретные типы данных, перечисленные в вашем уведомлении, важнее заголовка.

Ключевые выводы

Раскрытие информации об утечке данных пациентов Quest Diagnostics всё ещё развивается, и точное число пострадавших и типы затронутых данных пока не обнародованы. Пока это не произошло, несколько привычек покрывают большую часть риска:

  1. Следите за письмом-уведомлением об утечке и внимательно его читайте.
  2. Заморозьте свой кредит, если в уведомлении упоминается идентифицирующая информация.
  3. Относитесь к неожиданным сообщениям о здоровье или счетах как к подозрительным и проверяйте через официальные каналы.
  4. Включите многофакторную аутентификацию для ваших ключевых аккаунтов.

Чтобы понять, почему украденные записи могут иметь значение спустя долгое время после первых заголовков, прочитайте наш материал о вымогательстве данных при программах-вымогателях, а затем потратьте десять минут сегодня, чтобы защитить свой кредит и аккаунты.