Asahi Kasei Therapeutics dataintrång är ett tydligt exempel på hur en leverantörsdriven webbplats kan exponera en hel yrkeskatalog. Enligt rapportering från Japan Cyber Watch bröt angripare sig in i Pharma DIGITAL, en webbplats som drivs av en leverantör på uppdrag av Asahi Kasei Therapeutics för läkare i Japan. De exponerade uppgifterna omfattar namn, arbetsplatser och specialiteter för 514 000 personer.
De detaljer som hittills finns tillgängliga är begränsade, och detta inlägg håller sig till det som har rapporterats. Ändå är omfattningen och typen av uppgifter som är inblandade tillräckliga för att göra fallet värt att förstå, särskilt för alla som har ett konto på en yrkes- eller läkemedelsportal.
Vad exponerades i Pharma DIGITAL-intrånget
Enligt källrapporten tillhör de drabbade posterna 514 000 vårdpersonal i Japan. Den exponerade informationen omfattar tre kategorier:
- Namn
- Arbetsplatser
- Medicinska specialiteter
Rapporteringen nämner inte lösenord, ekonomiska uppgifter eller patientjournaler i samband med denna incident, och vi har ingen grund för att påstå att de var inblandade. Denna distinktion är viktig. Detta är inte en läcka av medicinska journaler. Det är en läcka av vilka personer är, var de arbetar och vad de gör.
Det kan låta mindre allvarligt jämfört med ett intrång i betaluppgifter. I praktiken är en verifierad lista över yrkesverksamma med deras arbetsgivare och specialiteter en användbar tillgång för alla som planerar att kontakta dessa personer under falska förespeglingar.
Hur en leverantörsdriven portal blev den svaga punkten
Pharma DIGITAL drevs inte direkt av Asahi Kasei Therapeutics. Det var en leverantörsdriven webbplats som betjänade företagets målgrupp av läkare. Detta är en vanlig ordning: läkemedelsföretag förlitar sig ofta på externa leverantörer för att vara värd för informationsportaler, registreringssystem och kommunikationsverktyg för medicinsk personal.
Avvägningen är att uppgifterna hamnar i ett system som företaget inte fullt ut kontrollerar dagligen. Säkerheten beror på leverantörens patchning, åtkomstkontroller och övervakning, och en besökare eller registrerad har inget enkelt sätt att se hur väl dessa hanteras. När angripare tar sig in på en sådan webbplats tillhör varumärket på framsidan en organisation medan felet ligger hos en annan.
För personer med konton är den praktiska lärdomen att namnet på företaget du litar på bara är en del av bilden. Uppgifterna du lämnar över kan innehas av en kedja av leverantörer. Det bredare cyberbrottstrycket mot japanska organisationer är också värt att ha i åtanke, och vår rapportering om Qilin-ransomwaremisstänkt gripen i Japan ger användbar kontext, även om det fallet är en separat fråga och inte rapporteras vara kopplat till detta intrång.
Varför läckta yrkesuppgifter möjliggör riktad nätfiske
Generiskt nätfiske bygger på volym och tur. Riktat nätfiske bygger på trovärdighet. Ett meddelande som tilltalar en läkare vid namn, nämner sjukhuset eller kliniken där de arbetar och hänvisar till deras specialitet framstår som mycket mer legitimt än ett massutskick om ett låst konto.
Med de uppgifter som rapporteras ha exponerats här skulle en angripare kunna utforma meddelanden som:
- En falsk avisering från ett läkemedelsföretag om en ny produkt relevant för en specifik specialitet
- En falsk inbjudan till ett medicinskt seminarium eller webbinarium med en inloggningslänk
- Ett meddelande som utger sig för att vara från en sjukhusadministratör eller IT-avdelning
- En falsk begäran om att verifiera kontouppgifter på en portal som mottagaren redan använder
Dessa är exempel på hur sådana uppgifter kan missbrukas, inte rapporter om attacker som har inträffat. Vårdpersonal är också upptagen och van vid att ta emot branschkommunikation, vilket gör ett trovärdigt meddelande lättare att agera på utan en andra titt.
Vad detta innebär för dig
Om du är vårdpersonal i Japan och har använt Pharma DIGITAL, håll utkik efter officiella meddelanden från Asahi Kasei Therapeutics eller leverantören och följ deras instruktioner. Utgå från att ditt namn, din arbetsplats och din specialitet kan vara i omlopp.
Om du inte arbetar inom vården gäller lärdomen fortfarande. Varje katalog, nyhetsbrevsportal eller registreringswebbplats som drivs av en tredje part kan innehålla en profil om dig som är värdefull i sig. Du behöver inte förlora ett lösenord för att ett intrång ska påverka dig.
Hur drabbade yrkesverksamma kan begränsa sin exponering
Du kan inte ta tillbaka uppgifter som redan har exponerats, men du kan minska chansen att de används mot dig:
- Kontrollera efter intrångsaviseringar. Läs noggrant alla e-postmeddelanden eller brev från företaget eller leverantören och bekräfta dem via en officiell kanal snarare än en länk i meddelandet.
- Var skeptisk till meddelanden som hänvisar till din arbetsplats eller specialitet. Personliga uppgifter är inte längre bevis på att en avsändare är genuin.
- Använd inte länkar eller bilagor från oväntade meddelanden. Gå direkt till den kända webbplatsen eller ring ett nummer du redan litar på.
- Använd unika lösenord för varje portal. Om du återanvänder ett lösenord från en yrkeswebbplats någon annanstans, ändra det och använd en lösenordshanterare.
- Aktivera flerfaktorsautentisering där det erbjuds, särskilt för e-post och arbetskonton.
- Berätta för ditt IT- eller säkerhetsteam om misstänkta meddelanden så att kollegor kan varnas.
Viktiga slutsatser
Asahi Kasei Therapeutics dataintrång visar att ett företags exponering bara är så stark som dess leverantörers säkerhet, och att namn, arbetsplatser och specialiteter kan vara tillräckligt för att driva övertygande bedrägerier. Granska alla meddelanden du får, behandla oväntade meddelanden som nämner ditt jobb med försiktighet och skärp grunderna för konton du har hos yrkesportaler. För bredare kontext om cyberbrottslighet riktad mot japanska organisationer, läs vår rapport om Qilin-ransomwaregripandet i Japan.
