Vad hände i Craneware-intrånget

Craneware, en brittisk leverantör av programvara för hälso- och sjukvårdsfakturering och intäktscykler, har bekräftat att de utsatts för ett cyberangrepp som äventyrat anställdas och kunders data. Företaget arbetar med mer än 2 000 amerikanska sjukhus, vilket innebär att konsekvenserna av denna incident sträcker sig långt bortom Cranewares eget huvudkontor i Skottland och når djupt in i amerikanska vårdsystem som är beroende av dess faktureringsinfrastruktur.

Craneware har informerat FBI och brittiska tillsynsmyndigheter om intrånget, ett steg som signalerar både allvaret i intrånget och dess gränsöverskridande konsekvenser. Som ett företag som hanterar känslig ekonomisk data och patientfaktureringsdata för en stor del av det amerikanska sjukhusnätverket väcker varje intrång i deras system omedelbara frågor för de sjukhus, patienter och personal vars information kan ha passerat genom Cranewares plattformar.

I detta skede är de bekräftade fakta tydliga: angripare fick tillgång till Cranewares system, anställdas och kunders data påverkades, och brottsbekämpande myndigheter och tillsynsorgan på båda sidor av Atlanten är nu inkopplade. Vad som fortfarande är oklart är den fulla omfattningen av exakt vilka register som togs och hur många personer som i slutändan kommer att behöva meddelas.

Vilka data exponerades och vem påverkas

Eftersom Craneware tillhandahåller faktureringsprogramvara snarare än direkt patientvård, innehåller de exponerade uppgifterna sannolikt en blandning av anställdas register och kundinformation (från sjukhussidan) kopplad till de faktureringsrelationer Craneware hanterar. Med tanke på att sjukvårdens faktureringsplattformar vanligtvis hanterar ekonomiska detaljer, försäkringsinformation och administrativa register tillsammans med patientidentifikatorer, medför den här typen av intrång samma nedströmsrisk för patienter som ett direkt sjukhusintrång, även om det ursprungliga målet var en tredjepartsleverantör.

Detta är den centrala utmaningen med leverantörsintrång inom vården: patienter har sällan en direkt relation till företag som Craneware, men deras data kan ändå dras in i en incident eftersom leverantören sitter mitt i fakturerings- och intäktscykelprocessen. De över 2 000 amerikanska sjukhus som är anslutna till Cranewares system innebär att den potentiella spridningsradien, i form av institutioner som kan behöva utfärda egna meddelanden, är betydande, även om antalet enskilda patienter som slutligen bekräftas vara påverkade visar sig vara mindre.

Det här mönstret bör kännas bekant. Det speglar nära det som hände med Change Healthcares intrång som påverkade 192,7 miljoner register, där ett enda clearinghus som hanterar fakturerings- och försäkringstransaktioner för en stor del av det amerikanska sjukvårdssystemet blev felpunkten för ett enormt antal nedströms patienter och vårdgivare. Faktureringsmellanhänder sitter, genom sin konstruktion, vid en flaskhals där enorma mängder känslig data strömmar genom en enda leverantörs infrastruktur.

Hur du skyddar dina hälsodata efter ett intrång i ett faktureringssystem

Om du har fått vård på ett sjukhus som arbetar med Craneware, eller om du bara vill vara försiktig med tanke på hur vanliga dessa leverantörsintrång har blivit, finns det konkreta åtgärder som är värda att vidta nu snarare än att vänta på ett formellt meddelandebrev.

För det första, håll utkik efter officiell kommunikation från ditt sjukhus eller din vårdcentral, inte bara från Craneware självt. Det är oftast sjukhusen som utfärdar direkta meddelanden till drabbade patienter, eftersom de har den faktiska vårdrelationen. Var försiktig med nätfiske-e-postmeddelanden eller samtal som hänvisar till intrånget, eftersom incidenter som denna ofta utnyttjas av bedragare som utger sig för att vara sjukhus eller faktureringsavdelningar.

För det andra, överväg att placera en bedrägerivarning eller kreditfrysning hos de stora kreditupplysningsföretagen om fakturerings- eller finansiell information kan ha varit inblandad. Sjukvårdens faktureringsdata innehåller ofta försäkringsidentifierare och betalningsuppgifter som kan missbrukas för ekonomiskt bedrägeri, inte bara medicinsk identitetsstöld.

För det tredje, registrera dig för kreditbevakning om det erbjuds som en del av eventuella åtgärder efter intrånget, och kontrollera dina kreditupplysningar regelbundet även om det inte görs. Genom att kombinera kreditbevakning med noggrann kontohantering, såsom unika lösenord för patientportaler och aktivering av tvåfaktorsautentisering där det är möjligt, minskar risken för att stulna inloggningsuppgifter leder till ytterligare kontoövertaganden.

Slutligen, när du använder patientportaler, faktureringskonton eller försäkringswebbplatser från offentliga eller delade nätverk, lägger en VPN till ett extra skydd mot avlyssning, vilket är särskilt användbart när du övervakar dina konton mer noga under veckorna efter ett intrångsmeddelande.

Varför sjukvårdens faktureringsinfrastruktur fortsätter att attackeras

Sjukvårdens faktureringssystem har blivit ett attraktivt mål just för att de befinner sig i skärningspunkten mellan ekonomisk data, försäkringsinformation och patientjournaler, allt bearbetas i stor skala för hundratals eller tusentals klientinstitutioner samtidigt. Ett framgångsrikt intrång hos en leverantör kan ge data kopplad till dussintals eller hundratals sjukhus samtidigt, vilket gör dessa företag till oproportionerligt värdefulla mål jämfört med att attackera enskilda sjukhus ett i taget.

Craneware-incidenten, som följer samma mönster som setts i andra storskaliga intrång hos fakturerings- och clearinghus, understryker att sårbarheten inte nödvändigtvis ligger i något enskilt sjukhus säkerhetsläge. Det är den delade infrastrukturen som kopplar samman tusentals institutioner med ett litet antal leverantörer, vilket skapar en koncentrerad risk som angripare har lärt sig att utnyttja upprepade gånger.

Vad detta innebär för dig

Om du har fått sjukhusvård i USA de senaste åren finns det en rimlig chans att dina faktureringsdata någon gång har passerat genom ett system som Cranewares. Detta intrång betyder inte nödvändigtvis att just dina register har stulits, men det är en signal att ändå skärpa dina egna försvar. Cranewares dataintrång inom sjukvårdsfakturering är en påminnelse om att patienter ofta har liten insyn i vilka tredjepartsleverantörer som hanterar deras information, vilket gör personlig vaksamhet, inte bara tillit till institutionell säkerhet, till en viktig del av att skydda dina data.

Praktiska åtgärder att vidta

  • Håll utkik efter officiella meddelanden från ditt sjukhus eller din vårdcentral angående Craneware-intrånget, och verifiera all kommunikation via officiella kanaler innan du klickar på länkar.
  • Lägg till en bedrägerivarning eller kreditfrysning om du misstänker att fakturerings- eller finansiella data kan ha exponerats.
  • Registrera dig för kreditbevakning och granska dina kreditupplysningar under de kommande månaderna.
  • Använd starka, unika lösenord och tvåfaktorsautentisering på alla patientportal- och faktureringskonton.
  • Använd en VPN när du ansluter till känsliga vårdkonton på offentliga eller delade Wi-Fi-nätverk.