Що сталося під час хакерської атаки на команду з опіки Коулун-Сіті

Районна команда з опіки, що діє при місцевому уряді в Коулун-Сіті, Гонконг, стала жертвою хакерської атаки, в результаті якої було розкрито персональні дані 23 користувачів послуг. Хоча кількість постраждалих може здатися невеликою порівняно з масштабними витоками, які потрапляють у заголовки новин, цей інцидент має значні наслідки для того, як місцеві органи державного сектору поводяться з чутливою інформацією про мешканців.

Команди з опіки Коулун-Сіті є частиною районної інфраструктури соціального забезпечення Гонконгу і зазвичай обслуговують літніх мешканців, людей з інвалідністю та тих, хто потребує громадської підтримки. Користувачі цих послуг часто надають детальну особисту інформацію, зокрема про стан здоров’я, домашні адреси та сімейні обставини. Такі дані в чужих руках можуть бути використані для цільового шахрайства, соціальної інженерії або переслідування.

На момент публікації влада не оприлюднила деталей про те, до яких саме даних було отримано доступ, які системи було скомпрометовано чи як саме відбувся витік. Тривала розсилка повідомлень постраждалим мешканцям, і було розпочато розслідування. Така непрозорість сама по собі є типовою рисою витоків даних у місцевих органах охорони здоров’я, де протоколи реагування на інциденти часто менш зрілі, ніж у великих установах.

Чому місцеві державні служби охорони здоров’я особливо вразливі

Районні державні служби охорони здоров’я та соціального забезпечення працюють у дуже відмінних умовах порівняно з національними системами охорони здоров’я чи приватними лікарнями. Бюджети обмежені, ІТ-персонал нечисленний, а інвестиції в кібербезпеку рідко визначаються пріоритетними порівняно з нагальними потребами надання безпосередніх послуг.

Це створює структурну проблему. Ті самі служби, які збирають одні з найчутливіших персональних даних — історії хвороб, домашні адреси, статус соціального забезпечення, — часто працюють на застарілому програмному забезпеченні і не мають виділеного персоналу з безпеки. Відносно простої техніки вторгнення може бути достатньо, щоб отримати доступ до систем, які ніколи не були захищені від атак.

Це не унікальна ситуація для Гонконгу. Витік даних підрядника CISA, який розкрив облікові дані AWS та паролі в публічному репозиторії GitHub, показав, як навіть установи з мандатом на безпеку можуть постраждати від базових операційних збоїв. Коли йдеться про невеликий районний офіс опіки, а не про федеральний орган кібербезпеки, розрив між ризиком і готовністю стає ще більшим.

Малі підрозділи державного сектору також схильні покладатися на сторонніх постачальників програмного забезпечення або спільні урядові ІТ-платформи, що створює ризики ланцюга постачання. Уразливість у спільній платформі може одночасно скомпрометувати кілька установ, посилюючи наслідки єдиної точки відмови.

Які дані були розкриті та хто під загрозою

23 постраждалі особи є користувачами послуг громадської команди з опіки, а отже, вони, ймовірно, належать до найбільш вразливих членів громади. Літні люди та особи, які отримують соціальну допомогу, як правило, мають вищий ризик подальшої шкоди після розкриття їхніх персональних даних, зокрема цільових шахрайств та крадіжки особистих даних.

Навіть невеликий набір даних може бути цінним для зловмисників. Список із 23 осіб з іменами, адресами, станом здоров’я та контактними даними дає достатньо матеріалу для створення переконливих фішингових повідомлень або схем видавання себе за іншу особу. На відміну від витоку, що охоплює мільйони знеособлених записів, невеликий цільовий набір даних про вразливих осіб можна використати дуже точно.

Ситуація відображає ширші тенденції у сфері безпеки даних у охороні здоров’я. Дослідження постійно показують, що хакерські атаки та ІТ-інциденти є основною причиною витоків даних у сфері охорони здоров’я у всьому світі, випереджаючи навіть внутрішні загрози чи втрачені пристрої. Випадок у Коулун-Сіті вписується в цю закономірність, водночас висвітлюючи ту частину проблеми, яка отримує менше уваги: невеликі локальні інциденти, що зачіпають маргіналізовані або вразливі групи населення.

Порівняння з гучнішими випадками є показовим. Позов Каліфорнії проти 23andMe через витік генетичних даних 7 мільйонів користувачів продемонстрував, що навіть коли безпосередньо отримано доступ лише до частини бази даних, подальші юридичні та особисті наслідки можуть бути серйозними. Масштаб — не єдиний показник шкоди.

Як захистити свої персональні дані при взаємодії з державними службами

Більшість людей мають обмежений контроль над тим, які дані збирають державні установи. Реєстрація для отримання соціальних послуг, медичної допомоги або участь у громадських програмах зазвичай вимагає надання особистої інформації. Але є кроки, які мешканці можуть зробити, щоб зменшити свою вразливість та ефективно реагувати у разі витоку.

По-перше, надавайте лише мінімально необхідну інформацію. Багато форм запитують більше, ніж суворо потрібно. Якщо поле необов’язкове, подумайте про те, щоб залишити його порожнім. Зменшення обсягу даних, якими ви ділитеся, зменшує те, що може бути розкрито.

По-друге, ведіть облік того, де ви надали персональні дані. Якщо надійде повідомлення про витік, вам потрібно знати, яка інформація зберігалася, щоб точно оцінити свій ризик. Простий журнал із переліком установ і того, які дані вони мають, може суттєво допомогти у вашій реакції.

По-третє, слідкуйте за ознаками крадіжки особистих даних або соціальної інженерії після будь-якого повідомлення про витік. Це включає несподівані дзвінки або повідомлення, що посилаються на особисті деталі, якими ви не ділилися широко, незвичну активність на фінансових рахунках або незнайомі кредитні запити.

По-четверте, вимагайте кращих стандартів. Кібербезпека в державному секторі часто покращується лише тоді, коли мешканці та наглядові органи цього вимагають. Запитання до місцевих представників про політику захисту даних і плани реагування на витоки є законною та корисною формою громадянської участі.

Витік даних у команді з опіки Коулун-Сіті — це нагадування про те, що локальні витоки даних у державних службах охорони здоров’я не обов’язково мають зачіпати мільйони людей, щоб мати значення. Двадцять три особи, ймовірно, одні з найбільш вразливих у своїй громаді, тепер живуть із невизначеністю щодо того, як використовується їхня особиста інформація. Такий результат заслуговує на таку ж увагу, яку ми приділяємо найбільшим корпоративним витокам, і такої ж терміновості в реагуванні.