OnTrac-dataintrång exponerar personlig och medicinsk data för 40 000 personer

Ett cyberangrepp mot det sista-milen-leveransföretaget OnTrac har exponerat känslig personlig information tillhörande mer än 40 000 personer. Den exponerade datan inkluderar namn, födelsedatum, personnummer, körkortsnummer och hälsoinformation – en kombination som säkerhetsexperter anser vara särskilt farlig eftersom den möjliggör identitetsstöld, medicinsk bedrägeri och ekonomisk brottslighet samtidigt.

OnTrac utreder för närvarande den fulla omfattningen av det obehöriga åtkomsten, vilket innebär att det slutliga antalet drabbade personer kan förändras i takt med att granskningen fortgår.

Vilken data exponerades och varför det spelar roll

Inte alla dataintrång innebär samma risk. Ett företag som läcker e-postadresser är ett besvär. Ett företag som läcker personnummer tillsammans med hälsoinformation är en betydligt allvarligare händelse.

Här är anledningen till att just denna kombination är så skadlig:

  • Personnummer är huvudnyckeln till din ekonomiska identitet. Med ett personnummer kan en illvillig aktör öppna kreditkonton, lämna in falska skattedeklarationer eller ta lån i ditt namn.
  • Födelsedatum och körkortsnummer används ofta som sekundär verifiering inom bank- och myndighetsärenden, vilket gör dem till värdefulla komplement till ett personnummer.
  • Hälsoinformation kan användas för att begå medicinsk bedrägeri, till exempel genom att lämna in falska försäkringsanspråk eller erhålla receptbelagda läkemedel under din identitet. Den kan också användas för riktad nätfiske, där angripare skapar övertygande meddelanden som refererar till din faktiska sjukdomshistorik.

När dessa datatyper förekommer tillsammans i ett enda intrång mångfaldigas skadepotentialen avsevärt.

Ett leveransföretag innehade din mest känsliga data

En av de mer slående aspekterna av detta incident är källan. OnTrac är ett regionalt paketfraktföretag. De flesta skulle inte förvänta sig att ett paketleveransföretag överhuvudtaget innehar personnummer eller hälsodata.

Detta är en påminnelse om hur brett personuppgifter flödar genom ekonomin. Leveransföretag interagerar med logistikpartners, sjukvårdsleverantörer, apotek och återförsäljare. Data som samlats in för ett smalt syfte – till exempel för att verifiera anställningsbehörighet eller hantera en leverans av medicinsk utrustning – kan komma att lagras långt efter att den ursprungliga transaktionen avslutats.

Rutintjänster innehar ofta mer data än konsumenter inser, och den datan kan bli en belastning när säkerhetskontrollerna brister.

Vad detta innebär för dig

Om du har använt OnTrac:s tjänster, eller om en återförsäljare eller vårdgivare har skickat varor till dig via deras nätverk, kan din information ha varit inblandad. Utredningen pågår fortfarande, så formella meddelanden till drabbade personer kan ännu utebli.

Här är konkreta åtgärder du kan vidta just nu:

  • Lägg en kreditfrysning hos alla tre stora kreditupplysningsbyråerna. En kreditfrysning är kostnadsfri och förhindrar att nya konton öppnas i ditt namn utan ditt uttryckliga medgivande. Det är det enskilt mest effektiva verktyget mot identitetsstöld efter ett exponerat personnummer.
  • Kontrollera dina kreditrapporter efter okända konton. Du har rätt till kostnadsfria rapporter från varje byrå årligen. Leta efter konton, förfrågningar eller adresser som du inte känner igen.
  • Granska dina sjukförsäkringsutdrag noggrant. Leta efter anspråk som lämnats in för tjänster du inte har mottagit. Detta är det tydligaste tidiga tecknet på medicinsk identitetsstöld.
  • Var uppmärksam på riktad nätfiske. Angripare som förvärvar hälsodata skapar ibland mycket personliga e-postmeddelanden eller samtal. Var skeptisk mot all oombedd kontakt som refererar till din sjukdomshistorik eller leveransaktivitet.
  • Använd starka, unika lösenord och aktivera tvåfaktorsautentisering på alla konton som är kopplade till tjänster som kan ha delat din data med OnTrac.

Utöver dessa omedelbara åtgärder är detta intrång ett bra tillfälle att tänka mer övergripande på ditt digitala fotavtryck. Data som exponeras i händelser som denna korreleras ofta med information som samlats in från andra källor, inklusive webbläsarhistorik, platsdata och onlinekontoaktivitet. Att minska vad du exponerar under vardaglig onlineaktivitet – till exempel genom att använda ett VPN när du surfar på offentliga eller opålitliga nätverk – begränsar hur mycket av ditt beteende som kan sättas samman av tredje parter.

Ett VPN förhindrar inte att ett företag hackas. Men det minskar mängden data du lämnar efter dig under onlinetransaktioner och hälsorelaterade sökningar som bidrar till din bredare profil.

Håll dig informerad medan utredningen fortsätter

OnTrac:s utredning är fortfarande aktiv. Om du tror att du kan vara drabbad, övervaka din e-post och vanliga post för officiella intrångsmeddelanden. Dessa meddelanden är lagstadgade i de flesta amerikanska delstater och kommer att innehålla instruktioner för att få tillgång till kreditövervakningstjänster om företaget väljer att erbjuda dem.

OnTrac-intrånget är en tydlig illustration av att exponering av personuppgifter sällan är begränsad till de tjänster som du tror innehar din känsliga information. Att vara proaktiv, övervaka dina konton och vidta åtgärder för att begränsa onödig dataexponering är de mest effektiva försvar som finns tillgängliga för vanliga konsumenter.