En manuell intrusion som byggde på stulna inloggningsuppgifter, inte skadlig kod, står i centrum för historien om Oracle Health data breach patient records. Enligt en rapport från säkerhetsföretaget Rescana ska attacken mot Oracle Healths (tidigare Cerner) system ha exponerat närmare 20 miljoner patientjournaler vid omkring 80 amerikanska sjukhus. Detaljerna är en nyttig påminnelse om att ett giltigt användarnamn och lösenord kan vara farligare än en exploit.

Det här inlägget går igenom vad som enligt uppgifterna togs, hur angriparen kom in och vilka praktiska åtgärder patienter och vanliga användare kan vidta nu.

Vilka uppgifter exponerades i Oracle Health-intrånget

Enligt Rescanas rapport exfiltrerade angriparen stora mängder elektronisk skyddad hälsoinformation (ePHI). De kategorier som nämns inkluderar:

  • Namn
  • Personnummer (Social Security-nummer)
  • Journalnummer
  • Diagnoser och läkemedel
  • Provresultat
  • Medicinska bilder
  • Läkarnamn

Den kombinationen spelar roll. Ett Social Security-nummer ensamt är ett allvarligt problem, men tillsammans med diagnoser, läkemedel och namnet på en behandlande läkare ger det en brottsling en detaljerad profil. Hälsoinformation kan inte återutfärdas som ett kreditkortsnummer, så risken kan bestå i åratal.

De stulna uppgifterna ska ha använts i ett utpressningsförsök, där angriparen krävde lösensumma. För den bredare omfattningen av incidenten, se vår tidigare rapportering: Oracle Health data breach reportedly hit 20 million people. Siffran kommer från rapportering snarare än en enda bekräftad räkning, så behandla det exakta antalet med viss försiktighet.

Hur stulna inloggningsuppgifter kringgick försvaret utan skadlig kod

En av de mest anmärkningsvärda slutsatserna är vad utredarna inte såg. Enligt rapporten finns det inga tecken på distribution av skadlig kod, utpressningsprogram eller automatiserade verktyg. Attacken var manuell och byggde enbart på stöld av inloggningsuppgifter och direkt åtkomst till servrarna.

Det är därför den här typen av intrång är svårt att upptäcka. Säkerhetsverktyg letar ofta efter skadliga filer, ovanliga processer eller kända attackmönster. En person som loggar in med riktiga inloggningsuppgifter ser vid första anblick ut som en behörig användare. Brandväggar och andra perimeterförsvar är byggda för att hålla utomstående ute, men de har inte mycket att säga om någon som går in med en giltig nyckel.

Mönstret är inte unikt för sjukvården. Andra nyliga incidenter i vår bevakning pekar på samma tema – att åtkomst är den svaga länken, bland annat Novo Nordisk-intrånget kopplat till utnyttjade GitHub-token. Olika företag, olika detaljer, men den gemensamma tråden är att stulet åtkomstmaterial kan öppna dörrar som tekniska försvar utgår från är stängda.

För organisationer är lärdomarna välkända: tvinga fram multifaktorautentisering på alla fjärr- och administrativa vägar, avveckla äldre system eller isolera dem noggrant, övervaka ovanliga inloggningar och begränsa vad ett enskilt konto kan nå. Meddelanden från vissa sjukhus beskriver den drabbade miljön som äldre Cerner-system, vilket understryker varför äldre infrastruktur förtjänar extra granskning.

Vad drabbade patienter bör göra nu

Om ditt sjukhus eller din vårdgivare använder Oracle Health- eller Cerner-system kan du få ett meddelande via post eller e-post. Här är en rimlig ordning för åtgärder.

  1. Läs eventuellt intrångsmeddelande noggrant. Det bör förklara vad som togs och kan erbjuda gratis kreditövervakning eller identitetsskydd. Använd det om det erbjuds.
  2. Bekräfta att meddelanden är äkta. Bedragare utnyttjar ofta nyheter om intrång. Kontakta din vårdgivare via ett telefonnummer från den officiella webbplatsen, inte från ett oväntat meddelande.
  3. Frys din kredit. En frysning hos de tre stora kreditbyråerna är gratis och blockerar de flesta försök att öppna nya konton i ditt namn. Du kan tillfälligt häva den när du behöver kredit.
  4. Granska försäkringsutdrag. Titta på förklaringar av förmåner för tjänster du inte har fått. Medicinsk identitetsstöld kan dyka upp där först.
  5. Var uppmärksam på utpressningsliknande meddelanden. Om en främling refererar till din diagnos eller dina läkemedel ska du inte betala eller svara. Rapportera det till din vårdgivare och överväg att anmäla det till brottsbekämpande myndigheter.

Säkra dina inloggningar till hälsoportalen och konton

Eftersom inloggningsuppgifterna var ingången i det här fallet är dina egna inloggningar värda att skärpa, särskilt för patientportaler, e-post och allt som är kopplat till försäkringar.

  • Använd ett unikt lösenord för varje konto. En lösenordshanterare gör detta realistiskt. Återanvändning är det som förvandlar en läcka till många.
  • Aktivera multifaktorautentisering. En autentiseringsapp eller hårdvarunyckel är starkare än SMS-koder där det är tillgängligt.
  • Säkra din e-post först. Din inkorg är återställningsvägen för nästan allt annat.
  • Var vaksam mot nätfiske. E-post och sms med intrångstema driver ofta på att du ska "verifiera" en inloggning. Gå direkt till webbplatsen i stället.
  • Undvik offentligt Wi-Fi för känsliga inloggningar, eller använd en seriös VPN om du måste. En VPN skyddar trafiken under överföring, men den hade inte förhindrat ett intrång på en leverantörs servrar.

Sjukvården har varit ett återkommande mål. Vår rapportering om ShinyHunters-kopplade attacker som involverar Abbott och NAIC visar hur utpressningsgrupper jagar känsliga hälsorelaterade uppgifter i hela sektorn.

Vad detta innebär för dig

Du kan inte styra hur ett sjukhus leverantör lagrar dina journaler, men du kan begränsa skadan om de läcker. Grundidén är att göra stulna uppgifter mindre användbara: frys din kredit så att ditt Social Security-nummer inte enkelt kan öppna nya konton, och använd unika lösenord med MFA så att en stulen inloggning inte kan låsa upp andra. Var uppmärksam på meddelanden som nämner dina hälsouppgifter, eftersom utpressning och nätfiske ofta följer intrång som detta.

Viktiga slutsatser

  • Det rapporterade Oracle Health-intrånget var manuellt och drevs av inloggningsuppgifter, utan tecken på skadlig kod eller utpressningsprogram.
  • Exponerade uppgifter uppges inkludera Social Security-nummer, diagnoser, läkemedel, provresultat och medicinska bilder.
  • Kontrollera eventuellt intrångsmeddelande, frys din kredit och övervaka försäkringsutdrag.
  • Använd unika lösenord och MFA på portaler och e-post.

För den större bilden av historien om Oracle Health data breach patient records, läs vår bevakning av siffran 20 miljoner personer och ta sedan några minuter i dag för att låsa ner dina egna konton.