การละเมิดข้อมูลด้านสุขภาพสองครั้ง หนึ่งสัปดาห์ที่เลวร้ายสำหรับข้อมูลผู้ป่วย

บทสรุปเหตุการณ์ด้านความปลอดภัยฉบับใหม่ที่รวบรวมโดย Secret CISO ตอกย้ำว่าองค์กรด้านสุขภาพยังคงตกเป็นเป้าโจมตีทางไซเบอร์ที่มุ่งเรียกค่าไถ่เพียงใด ในบรรดาเหตุการณ์เด่น ได้แก่ การละเมิดข้อมูลที่ OnePoint Patient Care ซึ่งมีรายงานว่ากระทบผู้ป่วย palliative care จำนวน 800,000 ราย และความพยายามเรียกค่าไถ่ข้อมูลขนาด 1.3 เทระไบต์ที่อ้างว่ามุ่งเป้าไปที่บริษัทยายักษ์ใหญ่ Novo Nordisk

เหตุการณ์ที่ OnePoint Patient Care น่าเป็นกังวลเป็นพิเศษเนื่องจากสิ่งที่ถูกเปิดเผย ตามรายงาน ข้อมูลที่รั่วไหลนั้นรวมข้อมูลทางการแพทย์ รายละเอียดประกันภัย และข้อมูลระบุตัวตนเข้าด้วยกัน ซึ่งเป็นการผสมผสานที่ทำให้การละเมิดข้อมูลในสถานพยาบาล palliative care และสถานพยาบาลที่เกี่ยวข้องสร้างความเสียหายได้มาก กลุ่ม INC Ransom ได้ออกมาอ้างความรับผิดชอบต่อการโจมตีครั้งนี้ โดยวางตำแหน่งให้เป็นหนึ่งในเหตุการณ์ละเมิดข้อมูลด้านสุขภาพที่สำคัญที่สุดที่รายงานในเดือนนี้

แยกกันนั้น Novo Nordisk เผชิญกับความพยายามเรียกค่าไถ่ที่เกี่ยวข้องกับข้อมูล 1.3TB ที่มีรายงาน แม้ว่ารายละเอียดทั้งหมดของสิ่งที่ถูกขโมยไปจะยังมีจำกัดในรายงานสาธารณะ แต่ขนาดเพียงอย่างเดียวก็บ่งชี้ถึงการโจรกรรมข้อมูลขนาดใหญ่ที่เป็นเรื่องปกติในแคมเปญแรนซัมแวร์แบบ double-extortion ซึ่งผู้โจมตีทั้งเข้ารหัสระบบและขู่จะเปิดเผยไฟล์ที่ขโมยมาหากไม่จ่ายเงิน

ทำไมข้อมูล palliative care และยา จึงเป็นเป้าหมายชั้นยอด

บันทึกด้านสุขภาพมีค่าแก่ผู้โจมตี正是因为它们很少单独存在 แฟ้มผู้ป่วย palliative care โดยทั่วไปประกอบด้วยประวัติทางคลินิก ตัวระบุประกันภัย และข้อมูลระบุตัวตนส่วนบุคคลทั้งหมดอยู่ในที่เดียว การผสมผสานนี้ทำให้อาชญากรสามารถพยายามฉ้อโกงประกันภัย ขโมยตัวตน และดำเนินแคมเปญฟิชชิ่งแบบเจาะจงโดยใช้รายละเอียดที่ดูเหมือนถูกต้องเพราะมันเป็นเช่นนั้นจริง

นี่ไม่ใช่รูปแบบที่แยกออกมา กลุ่มแรนซัมแวร์มุ่งเน้นไปที่ผู้ให้บริการด้านสุขภาพและบริการที่เกี่ยวข้องมากขึ้นเรื่อยๆ เพราะข้อมูลมีความอ่อนไหว ความเสี่ยงด้านการดำเนินงานสูง และองค์กรมักรู้สึกกดดันให้จ่ายเงินอย่างรวดเร็วเพื่อหลีกเลี่ยงการรบกวนการดูแลผู้ป่วย หน่วยงานรัฐบาลกลางได้เตือนถึงแนวโน้มนี้ซ้ำแล้วซ้ำเล่า คำแนะนำร่วมเกี่ยวกับภัยคุกคามเช่นแรนซัมแวร์ Gunra เป็นต้น ได้ระบุโดยเฉพาะถึงการมุ่งเป้าไปที่ภาคสุขภาพและการเงินว่าเป็นความกังวลที่เพิ่มขึ้น บทวิเคราะห์ที่เกี่ยวข้องของคำแนะนำเดียวกันนั้นได้ชี้ให้เห็นว่ากลยุทธ์ double-extortion ที่ aggressive การขโมยข้อมูลก่อนเข้ารหัส ได้กลายเป็นแนวปฏิบัติมาตรฐานในปฏิบัติการแรนซัมแวร์หลายแห่ง ไม่ใช่แค่ที่ระบุชื่อในบทสรุปฉบับนี้เท่านั้น

คำพิพากษาที่หาได้ยาก: การตัดสินลงโทษพันธมิตร Conti

ท่ามกลางข่าวการละเมิดข้อมูล บทสรุปยังรายงานผลทางกฎหมายที่เป็นรูปธรรม: ศาลสหรัฐได้ตัดสินลงโทษพลเมืองยูเครนรายหนึ่งให้จำคุกสี่ปีจากบทบาทของเขาในการโจมตีแรนซัมแวร์ Conti Conti เป็นหนึ่งในปฏิบัติการแรนซัมแวร์ที่ prolific และ destructive ที่สุดในหลายปีที่ผ่านมา เรียกค่าไถ่จากองค์กรจำนวนมากก่อนที่โครงสร้างพื้นฐานจะถูกทำลาย การตัดสินลงโทษที่เชื่อมโยงโดยตรงกับแก๊งนี้หาได้ยาก ซึ่งทำให้การตัดสินครั้งนี้น่าสนใจแม้ว่าบทบาทของบุคคลนี้จะเป็นเพียงส่วนหนึ่งขององค์กรอาชญากรรมที่ใหญ่กว่ามาก

คดีนี้เป็นเครื่องเตือนใจว่าการดำเนินการบังคับใช้กฎหมายต่อผู้ปฏิบัติการแรนซัมแวร์เกิดขึ้นจริง แม้หลายปีหลังการโจมตี แต่ก็แทบไม่เคยเกิดขึ้นในระดับหรือความเร็วที่จำเป็นเพื่อป้องกันการละเมิดใหม่เกิดขึ้นในระหว่างนั้น ช่องโหว่ zero-day ของ Windows ที่ถูกใช้ประโยชน์อย่างจริงจัง ซึ่งถูกระบุในบทสรุปเดียวกัน เน้นย้ำว่าผู้โจมตียังคงหาจุดเข้าถึงใหม่ๆ ต่อไปแม้คดีเก่าจะดำเนินไปตามกระบวนการศาล

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

หากคุณหรือสมาชิกในครอบครัวเคยติดต่อกับผู้ให้บริการ palliative care บริษัทประกันภัย หรือบริการเภสัชกรรมที่เกี่ยวข้องกับเหตุการณ์เหล่านี้ ควรถือว่าบันทึกทางการแพทย์และประกันภัยของคุณอาจถูกเปิดเผย การละเมิดข้อมูลด้านสุขภาพเช่นนี้มักไม่ก่อให้เกิดการฉ้อโกงทางการเงินในทันที แต่ข้อมูลทางการแพทย์และข้อมูลระบุตัวตนที่ถูกขโมยสามารถหมุนเวียนได้หลายเดือนหรือหลายปีก่อนที่จะถูกนำไปใช้ในทางที่ผิด

สำหรับผู้ใช้ทั่วไป นิสัยปฏิบัติบางประการก็ช่วยได้มาก: ตรวจสอบใบแจ้งยอดประกันภัยสำหรับการเรียกร้องที่ไม่คุ้นเคย ระวังอีเมลฟิชชิ่งที่อ้างถึงผู้ให้บริการทางการแพทย์จริง และใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับพอร์ทัลด้านสุขภาพ เมื่อเข้าถึงบัญชีทางการแพทย์ที่อ่อนไหวบนเครือข่ายสาธารณะหรือเครือข่ายที่ใช้ร่วมกัน VPN ช่วยเพิ่มชั้นการป้องกันโดยการเข้ารหัสการเชื่อมต่อของคุณ แม้ว่าจะไม่สามารถป้องกันการละเมิดที่ฝั่งผู้ให้บริการได้ การป้องกันที่แท้จริงต่อเหตุการณ์เช่นการละเมิดข้อมูลที่ OnePoint Patient Care ต้องมาจากองค์กรที่ถือข้อมูล ไม่ใช่แค่จากบุคคลที่เป็นเจ้าของข้อมูล

ประเด็นสำคัญ

  • ตรวจสอบการแจ้งเตือนการละเมิดข้อมูลหากคุณเพิ่งใช้บริการ palliative care ร้านขายยา หรือบริการทางการแพทย์ที่เกี่ยวข้อง และอ่านอย่างละเอียดแทนที่จะอ่านผ่านๆ
  • ขอสำเนาบันทึกทางการแพทย์และใบแจ้งยอดผลประโยชน์ประกันภัยของคุณเป็นระยะเพื่อจับกิจกรรมที่ไม่ได้รับอนุญาตได้ตั้งแต่เนิ่นๆ
  • ใช้ข้อมูลรับรองที่แข็งแกร่งและไม่ซ้ำกันในทุกพอร์ทัลด้านสุขภาพ และเปิดใช้งานการยืนยันตัวตนหลายปัจจัยเมื่อมีการเสนอ
  • ปฏิบัติต่อคำกล่าวอ้างของกลุ่มแรนซัมแวร์ด้วยความระมัดระวังแต่ไม่ใช่การเพิกเฉย การตรวจสอบใช้เวลา แต่การเปิดเผยที่แท้จริงมักเป็นเรื่องจริง
  • ตระหนักว่าการตัดสินลงโทษเช่นคำพิพากษาพันธมิตร Conti แสดงให้เห็นว่าความรับผิดสามารถเกิดขึ้นได้ แต่การป้องกันยังคงขึ้นอยู่กับแนวปฏิบัติด้านความปลอดภัยขององค์กรที่คุณไว้วางใจกับข้อมูลของคุณ