การละเมิดข้อมูลของ Asahi Kasei Therapeutics เป็นตัวอย่างที่ชัดเจนว่าเว็บไซต์ที่ดำเนินการโดยผู้ขายรายเดียวสามารถเปิดเผยทำเนียบวิชาชีพทั้งหมดได้อย่างไร ตามรายงานจาก Japan Cyber Watch ผู้โจมตีได้บุกเข้าไปใน Pharma DIGITAL ซึ่งเป็นเว็บไซต์ที่ดำเนินการโดยผู้ขายในนามของ Asahi Kasei Therapeutics สำหรับแพทย์ในญี่ปุ่น ข้อมูลที่รั่วไหลครอบคลุมชื่อ สถานที่ทำงาน และสาขาความเชี่ยวชาญของบุคคล 514,000 ราย
รายละเอียดที่มี disponible ในขณะนี้ยังมีจำกัด และบทความนี้ยึดตามสิ่งที่ได้รับการรายงานเท่านั้น ถึงกระนั้น ขนาดและประเภทของข้อมูลที่เกี่ยวข้องก็เพียงพอที่จะทำให้กรณีนี้ควรค่าแก่การทำความเข้าใจ โดยเฉพาะอย่างยิ่งสำหรับผู้ที่มีบัญชีบนพอร์ทัลวิชาชีพหรือเภสัชกรรม
สิ่งที่ถูกเปิดเผยในการละเมิดข้อมูล Pharma DIGITAL
ตามรายงานต้นทาง บันทึกที่ได้รับผลกระทบเป็นของบุคลากรทางการแพทย์ 514,000 รายในญี่ปุ่น ข้อมูลที่ถูกเปิดเผยประกอบด้วยสามหมวดหมู่:
- ชื่อ
- สถานที่ทำงาน
- สาขาความเชี่ยวชาญทางการแพทย์
รายงานไม่ได้กล่าวถึงรหัสผ่าน รายละเอียดทางการเงิน หรือบันทึกของผู้ป่วยที่เกี่ยวข้องกับเหตุการณ์นี้ และเราไม่มีหลักฐานที่จะกล่าวว่าเกี่ยวข้อง ความแตกต่างนี้สำคัญ นี่ไม่ใช่การรั่วไหลของไฟล์ทางการแพทย์ แต่เป็นการรั่วไหลของข้อมูลว่าบุคคลเหล่านั้นเป็นใคร ทำงานที่ไหน และทำอะไร
นั่นอาจฟังดูเล็กน้อยเมื่อเทียบกับการละเมิดข้อมูลการชำระเงิน แต่ในทางปฏิบัติ รายชื่อบุคลากรวิชาชีพที่ผ่านการตรวจสอบพร้อมนายจ้างและสาขาความเชี่ยวชาญของพวกเขาเป็นทรัพย์สินที่มีค่าสำหรับใครก็ตามที่วางแผนจะติดต่อบุคคลเหล่านั้นภายใต้ข้ออ้างเท็จ
พอร์ทัลที่ดำเนินการโดยผู้ขายกลายเป็นจุดอ่อนได้อย่างไร
Pharma DIGITAL ไม่ได้ดำเนินการโดยตรงโดย Asahi Kasei Therapeutics แต่เป็นเว็บไซต์ที่ดำเนินการโดยผู้ขายซึ่งให้บริการกลุ่มเป้าหมายแพทย์ของบริษัท นี่เป็นการจัดการที่พบได้ทั่วไป บริษัทเภสัชกรรมมักพึ่งพาผู้ให้บริการภายนอกในการโฮสต์พอร์ทัลข้อมูล ระบบลงทะเบียน และเครื่องมือสื่อสารสำหรับบุคลากรทางการแพทย์
ข้อแลกเปลี่ยนก็คือข้อมูลลงเอยในระบบที่บริษัทไม่ได้ควบคุมอย่างเต็มที่ในชีวิตประจำวัน ความปลอดภัยขึ้นอยู่กับการแพตช์ การควบคุมการเข้าถึง และการตรวจสอบของผู้ขาย และผู้เยี่ยมชมหรือผู้ลงทะเบียนไม่มีวิธีง่ายๆ ที่จะเห็นว่าสิ่งเหล่านั้นได้รับการจัดการดีเพียงใด เมื่อผู้โจมตีเข้าไปในเว็บไซต์ดังกล่าว แบรนด์ที่ประตูหน้าจะเป็นขององค์กรหนึ่ง mientras ความล้มเหลวเป็นของอีกองค์กรหนึ่ง
สำหรับผู้ที่มีบัญชี บทเรียนในทางปฏิบัติก็คือชื่อของบริษัทที่คุณไว้วางใจเป็นเพียงส่วนหนึ่งของภาพ ข้อมูลที่คุณมอบให้อาจถูกถือครองโดยห่วงโซ่ของผู้จัดหา แรงกดดันด้านอาชญากรรมไซเบอร์ที่กว้างขึ้นต่อองค์กรญี่ปุ่นก็ควรค่าแก่การจดจำเช่นกัน และการรายงานของเราเกี่ยวกับผู้ต้องสงสัยแรนซัมแวร์ Qilin ถูกจับกุมในญี่ปุ่น ให้บริบทที่เป็นประโยชน์ แม้ว่าคดีนั้นจะเป็นเรื่องแยกต่างหากและไม่มีรายงานว่าเชื่อมโยงกับการละเมิดครั้งนี้
ทำไมรายละเอียดวิชาชีพที่รั่วไหลจึงช่วยให้การฟิชชิ่งแบบเจาะจงเป้าหมายทำได้
การฟิชชิ่งทั่วไปอาศัยปริมาณและโชค การฟิชชิ่งแบบเจาะจงเป้าหมายอาศัยความน่าเชื่อถือ ข้อความที่เรียกชื่อแพทย์ กล่าวถึงโรงพยาบาลหรือคลินิกที่พวกเขาทำงาน และอ้างถึงสาขาความเชี่ยวชาญของพวกเขาดูเหมือนถูกต้องมากกว่าอีเมล массовой เกี่ยวกับบัญชีที่ถูกล็อกมาก
ด้วยข้อมูลที่มีรายงานว่าถูกเปิดเผยที่นี่ ผู้โจมตีสามารถสร้างข้อความเช่น:
- ประกาศปลอมจากบริษัทเภสัชกรรมเกี่ยวกับผลิตภัณฑ์ใหม่ที่เกี่ยวข้องกับสาขาความเชี่ยวชาญเฉพาะ
- คำเชิญปลอมไปยังการสัมมนาหรือเว็บบินาร์ทางการแพทย์พร้อมลิงก์เข้าสู่ระบบ
- ข้อความที่แอบอ้างเป็นผู้บริหารโรงพยาบาลหรือแผนกไอที
- คำขอปลอมในการยืนยันรายละเอียดบัญชีบนพอร์ทัลที่ผู้รับใช้อยู่แล้ว
สิ่งเหล่านี้เป็นตัวอย่างว่าข้อมูลดังกล่าวสามารถถูกนำไปใช้ในทางที่ผิดได้อย่างไร ไม่ใช่รายงานการโจมตีที่เกิดขึ้น บุคลากรทางการแพทย์ยังยุ่งและคุ้นเคยกับการรับการสื่อสารจากอุตสาหกรรม ซึ่งทำให้ข้อความที่น่าเชื่อถือนั้นง่ายต่อการดำเนินการโดยไม่ตรวจสอบซ้ำ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นบุคลากรทางการแพทย์ในญี่ปุ่นและเคยใช้ Pharma DIGITAL ให้จับตาดูประกาศอย่างเป็นทางการจาก Asahi Kasei Therapeutics หรือผู้ขายและปฏิบัติตามคำแนะนำของพวกเขา ให้สันนิษฐานว่าชื่อ สถานที่ทำงาน และสาขาความเชี่ยวชาญของคุณอาจอยู่ในระหว่างการเผยแพร่
หากคุณไม่ได้ทำงานในด้านการดูแลสุขภาพ บทเรียนก็ยังใช้ได้ พอร์ทัลไดเรกทอรี จดหมายข่าว หรือเว็บไซต์ลงทะเบียนใดๆ ที่ดำเนินการโดยบุคคลที่สามสามารถถือโปรไฟล์ของคุณที่มีค่าในตัวเองได้ คุณไม่จำเป็นต้องสูญเสียรหัสผ่านเพื่อให้การละเมิดส่งผลกระทบต่อคุณ
บุคลากรที่ได้รับผลกระทบสามารถจำกัดการเปิดเผยได้อย่างไร
คุณไม่สามารถเรียกคืนข้อมูลที่ถูกเปิดเผยไปแล้วได้ แต่คุณสามารถลดโอกาสที่มันจะถูกนำมาใช้ต่อต้านคุณ:
- ตรวจสอบประกาศการละเมิด อ่านอีเมลหรือจดหมายจากบริษัทหรือผู้ขายอย่างละเอียด และยืนยันผ่านช่องทางอย่างเป็นทางการแทนที่จะเป็นลิงก์ภายในข้อความ
- สงสัยข้อความที่อ้างถึงสถานที่ทำงานหรือสาขาความเชี่ยวชาญของคุณ รายละเอียดส่วนตัวไม่ใช่หลักฐานว่าผู้ส่งเป็นของจริงอีกต่อไป
- อย่าใช้ลิงก์หรือไฟล์แนบจากข้อความที่ไม่คาดคิด ไปที่เว็บไซต์ที่รู้จักโดยตรงหรือโทรหาหมายเลขที่คุณไว้วางใจอยู่แล้ว
- ใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกพอร์ทัล หากคุณใช้รหัสผ่านจากเว็บไซต์วิชาชีพซ้ำที่อื่น ให้เปลี่ยนและใช้ตัวจัดการรหัสผ่าน
- เปิดใช้การยืนยันตัวตนหลายปัจจัย ทุกที่ที่มีให้ โดยเฉพาะสำหรับอีเมลและบัญชีที่ทำงาน
- แจ้งทีมไอทีหรือความปลอดภัยของคุณ เกี่ยวกับข้อความที่น่าสงสัยเพื่อให้เพื่อนร่วมงานได้รับคำเตือน
ประเด็นสำคัญ
การละเมิดข้อมูลของ Asahi Kasei Therapeutics แสดงให้เห็นว่าการเปิดเผยของบริษัทแข็งแกร่งเพียงเท่าความปลอดภัยของผู้ขาย และชื่อ สถานที่ทำงาน และสาขาความเชี่ยวชาญก็เพียงพอที่จะขับเคลื่อนการหลอกลวงที่น่าเชื่อถือได้ ตรวจสอบประกาศใดๆ ที่คุณได้รับ ปฏิบัติต่อข้อความที่ไม่คาดคิดซึ่งกล่าวถึงงานของคุณด้วยความระมัดระวัง และกระชับพื้นฐานบนบัญชีที่คุณถืออยู่กับพอร์ทัลวิชาชีพ สำหรับบริบทที่กว้างขึ้นเกี่ยวกับอาชญากรรมไซเบอร์ที่มุ่งเป้าองค์กรญี่ปุ่น อ่านรายงานของเราเกี่ยวกับการจับกุมแรนซัมแวร์ Qilin ในญี่ปุ่น
