Генеральный прокурор Вермонта подтверждает утечку, затронувшую десятки тысяч людей

Генеральный прокурор Вермонта объявил, что утечка данных в компании по производству медицинских товаров скомпрометировала личную информацию более чем 48 000 жителей штата. Согласно заявлению, инцидент произошел в июне, и компания, о которой идет речь, не была публично названа в уведомлении штата. Хотя опубликованные на данный момент детали ограничены, масштаб утечки, затронувшей значительную долю населения Вермонта, напоминает о том, как много конфиденциальной информации проходит через компании, которые находятся рядом с системой здравоохранения, но не всегда являются широко известными именами.

Такого рода уведомления становятся привычными. Штаты, такие как Вермонт, требуют, чтобы компании уведомляли офис генерального прокурора, когда данные жителей оказываются скомпрометированы, и именно так общественность чаще всего узнает об этих инцидентах. Сама компания редко попадает в заголовки новостей, пока не вмешается регулятор или надзорный орган.

Почему компании, связанные со здравоохранением, являются привлекательными целями

Компании по производству медицинских товаров, включая те, что продают долговременное медицинское оборудование, расходные материалы или оздоровительные товары, часто собирают удивительно большой объем конфиденциальных данных: имена, адреса, даты рождения, страховые данные, а иногда и клиническую информацию, связанную с медицинскими потребностями клиента. Такое сочетание делает эти компании ценными целями для злоумышленников, даже если сама компания не является больницей или страховым провайдером.

Ключевая проблема в том, что многие из этих компаний выходят за строгие рамки HIPAA — федерального закона, который большинство людей связывает с медицинской конфиденциальностью. HIPAA в целом применяется к медицинским учреждениям, страховщикам и их непосредственным деловым партнерам. Компании, которые продают товары, связанные со здоровьем, но не оказывают клиническую помощь, могут оказаться в «серой зоне», собирая данные, связанные со здоровьем, без соблюдения тех же регуляторных стандартов, что и больницы или клиники. Этот пробел означает, что требования к уведомлению об утечках и безопасности могут значительно различаться в зависимости от законодательства штата, как в Вермонте, а не подчиняться единому федеральному стандарту.

Более широкая картина за этими утечками

Этот инцидент вписывается в более масштабную тенденцию, когда злоумышленники нацеливаются на компании, которые обрабатывают ценные персональные данные, но могут не располагать ресурсами безопасности более крупных медицинских или финансовых учреждений. В частности, группы программ-вымогателей стали более изощренными в методах проникновения и удержания внутри корпоративных сетей. Некоторые даже перешли на децентрализованную инфраструктуру, чтобы продолжать свою деятельность после попыток отключения, как видно на примере использования блокчейна Polygon программой-вымогателем DeadLock для уклонения от сбоев.

Злоумышленники также все чаще эксплуатируют сами инструменты, которые организации используют для защиты удаленного доступа. Специалисты по безопасности задокументировали нацеливание групп программ-вымогателей на уязвимости VPN в широко используемых корпоративных продуктах, используя их как точку входа в корпоративные системы. Неправильно сконфигурированные системы и открытые базы данных остаются распространенной темой во многих утечках, не в последнюю очередь напоминая об утечке Kibana в FTF Live, которая раскрыла миллионы записей видеосессий, показавшей, как одна неправильно настроенная панель управления может поставить под угрозу огромные объемы пользовательских данных. Ни один из этих примеров не является подтвержденной причиной утечки в Вермонте, но они иллюстрируют спектр тактик, которые злоумышленники сейчас применяют против организаций любого размера.

Что это значит для вас

Если вы получили уведомление или считаете, что можете быть затронуты, потому что покупали медицинские товары или расходные материалы у компании, которая позже сообщила об утечке, отнеситесь к уведомлению серьезно, даже если в нем не указаны все детали. Данные, связанные со здоровьем, включая страховую информацию и историю болезни, могут быть использованы для целенаправленного фишинга, страхового мошенничества или кражи личности, которую сложнее обнаружить, чем простую кражу номера кредитной карты.

Начните с внимательного изучения любых писем с уведомлением об утечке и проверьте выписки по медицинской страховке на предмет незнакомых требований. Рассмотрите возможность установки предупреждения о мошенничестве или заморозки кредитной истории в основных кредитных бюро, если были затронуты финансовые или страховые данные. Использование менеджера паролей, такого как Dashlane, может помочь вам поддерживать уникальные надежные пароли для медицинских и торговых аккаунтов, снижая риск того, что один скомпрометированный пароль откроет доступ к другим аккаунтам. Если вы регулярно ищете информацию о состояниях здоровья или товарах в интернете, использование VPN также может добавить уровень конфиденциальности, затрудняя третьим лицам связывание вашей активности в браузере с вашей личностью.

Практические выводы

  • Следите за официальными письмами с уведомлением об утечке и внимательно их читайте, даже если детали ограничены.
  • Проверяйте выписки по страховке и медицинские счета на предмет незнакомой активности.
  • Заморозьте кредитную историю или установите предупреждения о мошенничестве, если были раскрыты конфиденциальные персональные данные.
  • Используйте менеджер паролей, чтобы не повторять пароли в аккаунтах, связанных со здоровьем.
  • Рассмотрите возможность использования VPN при поиске медицинских тем или покупке медицинских товаров в интернете.

Подобные утечки подчеркивают простую истину: ваши медицинские данные не обязательно должны проходить через больницу, чтобы быть ценными для злоумышленников. Поскольку все больше компаний в сфере медицинских товаров собирают и хранят личную информацию, бдительное отношение к уведомлениям об утечках и соблюдение базовой цифровой гигиены остаются одними из самых эффективных способов защитить себя.