Vụ vi phạm dữ liệu của Asahi Kasei Therapeutics là một ví dụ rõ ràng về cách một trang web do nhà cung cấp vận hành có thể làm lộ toàn bộ danh bạ chuyên môn. Theo đưa tin từ Japan Cyber Watch, kẻ tấn công đã xâm nhập vào Pharma DIGITAL, một trang web do một nhà cung cấp vận hành thay mặt Asahi Kasei Therapeutics dành cho các bác sĩ tại Nhật Bản. Dữ liệu bị lộ bao gồm tên, nơi làm việc và chuyên khoa của 514.000 người.
Các chi tiết hiện có vẫn còn hạn chế, và bài viết này chỉ giới hạn ở những gì đã được đưa tin. Dù vậy, quy mô và loại dữ liệu liên quan đã đủ để khiến vụ việc này đáng được tìm hiểu, đặc biệt là với bất kỳ ai có tài khoản trên một cổng thông tin chuyên môn hoặc dược phẩm.
Những gì đã bị lộ trong vụ vi phạm Pharma DIGITAL
Theo báo cáo nguồn, các hồ sơ bị ảnh hưởng thuộc về 514.000 chuyên gia y tế tại Nhật Bản. Thông tin bị lộ bao gồm ba nhóm:
- Tên
- Nơi làm việc
- Chuyên khoa y tế
Báo cáo không đề cập đến mật khẩu, chi tiết tài chính hay hồ sơ bệnh nhân liên quan đến sự cố này, và chúng tôi không có cơ sở để nói rằng chúng đã bị liên quan. Sự phân biệt này rất quan trọng. Đây không phải là rò rỉ hồ sơ y tế. Đây là rò rỉ thông tin về việc mọi người là ai, làm việc ở đâu và làm gì.
Nghe có vẻ nhỏ nhặt so với một vụ vi phạm dữ liệu thanh toán. Trên thực tế, một danh sách đã được xác minh gồm các chuyên gia cùng với nhà tuyển dụng và chuyên khoa của họ là một tài sản hữu ích cho bất kỳ ai đang lên kế hoạch liên hệ với những người này dưới danh nghĩa giả mạo.
Cách một cổng thông tin do nhà cung cấp vận hành trở thành điểm yếu
Pharma DIGITAL không được vận hành trực tiếp bởi Asahi Kasei Therapeutics. Đây là một trang web do nhà cung cấp vận hành, phục vụ đối tượng bác sĩ của công ty. Đây là một sự sắp xếp phổ biến: các công ty dược phẩm thường dựa vào các nhà cung cấp bên ngoài để lưu trữ cổng thông tin, hệ thống đăng ký và công cụ liên lạc cho các chuyên gia y tế.
Sự đánh đổi là dữ liệu cuối cùng nằm trong một hệ thống mà công ty không kiểm soát hoàn toàn trong hoạt động hàng ngày. An ninh phụ thuộc vào việc vá lỗi, kiểm soát truy cập và giám sát của nhà cung cấp, và người truy cập hoặc người đăng ký không có cách nào dễ dàng để thấy những điều đó được xử lý tốt đến đâu. Khi kẻ tấn công xâm nhập được vào một trang web như vậy, thương hiệu trên cửa trước thuộc về một tổ chức trong khi thất bại lại nằm ở một tổ chức khác.
Đối với những người có tài khoản, bài học thực tế là tên của công ty bạn tin tưởng chỉ là một phần của bức tranh. Dữ liệu bạn cung cấp có thể được nắm giữ bởi một chuỗi các nhà cung cấp. Áp lực tội phạm mạng rộng hơn đối với các tổ chức Nhật Bản cũng đáng để lưu tâm, và bài đưa tin của chúng tôi về nghi phạm ransomware Qilin bị bắt tại Nhật Bản cung cấp bối cảnh hữu ích, mặc dù trường hợp đó là một vấn đề riêng biệt và không được báo cáo là có liên quan đến vụ vi phạm này.
Tại sao chi tiết chuyên môn bị rò rỉ lại tạo điều kiện cho lừa đảo có mục tiêu
Lừa đảo chung dựa vào số lượng và may mắn. Lừa đảo có mục tiêu dựa vào độ tin cậy. Một tin nhắn gọi tên bác sĩ, đề cập đến bệnh viện hoặc phòng khám nơi họ làm việc, và nhắc đến chuyên khoa của họ trông hợp pháp hơn nhiều so với một email hàng loạt về một tài khoản bị khóa.
Với dữ liệu được cho là bị lộ ở đây, kẻ tấn công có thể tạo ra những tin nhắn như:
- Một thông báo giả mạo từ một công ty dược phẩm về một sản phẩm mới liên quan đến một chuyên khoa cụ thể
- Một lời mời giả mạo tham dự hội thảo hoặc webinar y khoa kèm liên kết đăng nhập
- Một tin nhắn mạo danh quản trị viên bệnh viện hoặc phòng IT
- Một yêu cầu giả mạo để xác minh chi tiết tài khoản trên một cổng thông tin mà người nhận đã sử dụng
Đây là những ví dụ về cách dữ liệu như vậy có thể bị lạm dụng, không phải là báo cáo về các cuộc tấn công đã xảy ra. Nhân viên y tế cũng bận rộn và đã quen với việc nhận thông tin liên lạc từ ngành, điều này khiến một tin nhắn có vẻ hợp lý dễ bị hành động mà không cần nhìn lại lần hai.
Điều này có ý nghĩa gì với bạn
Nếu bạn là một chuyên gia y tế tại Nhật Bản và đã sử dụng Pharma DIGITAL, hãy chú ý đến các thông báo chính thức từ Asahi Kasei Therapeutics hoặc nhà cung cấp và làm theo hướng dẫn của họ. Hãy giả định rằng tên, nơi làm việc và chuyên khoa của bạn có thể đang được lưu hành.
Nếu bạn không làm trong ngành y tế, bài học vẫn đúng. Bất kỳ danh bạ, cổng bản tin hay trang đăng ký nào do bên thứ ba vận hành đều có thể nắm giữ một hồ sơ về bạn có giá trị riêng. Bạn không cần phải mất mật khẩu để một vụ vi phạm ảnh hưởng đến bạn.
Cách các chuyên gia bị ảnh hưởng có thể hạn chế rủi ro phơi nhiễm
Bạn không thể lấy lại dữ liệu đã bị lộ, nhưng bạn có thể giảm khả năng nó bị sử dụng để chống lại bạn:
- Kiểm tra các thông báo vi phạm. Đọc kỹ bất kỳ email hoặc thư nào từ công ty hoặc nhà cung cấp, và xác nhận qua kênh chính thức thay vì một liên kết trong tin nhắn.
- Hãy hoài nghi với những tin nhắn đề cập đến nơi làm việc hoặc chuyên khoa của bạn. Chi tiết cá nhân không còn là bằng chứng cho thấy người gửi là thật.
- Không sử dụng liên kết hoặc tệp đính kèm từ những tin nhắn bất ngờ. Truy cập trực tiếp vào trang web đã biết hoặc gọi một số bạn đã tin tưởng.
- Sử dụng mật khẩu duy nhất cho mỗi cổng thông tin. Nếu bạn dùng lại mật khẩu từ một trang chuyên môn ở nơi khác, hãy đổi nó và sử dụng trình quản lý mật khẩu.
- Bật xác thực đa yếu tố ở bất cứ nơi nào được cung cấp, đặc biệt là cho email và tài khoản công việc.
- Thông báo cho nhóm IT hoặc an ninh của bạn về những tin nhắn đáng ngờ để đồng nghiệp có thể được cảnh báo.
Những điểm chính cần ghi nhớ
Vụ vi phạm dữ liệu của Asahi Kasei Therapeutics cho thấy mức độ phơi nhiễm của một công ty chỉ vững mạnh bằng mức độ an ninh của các nhà cung cấp, và rằng tên, nơi làm việc và chuyên khoa có thể đủ để tạo ra những trò lừa đảo thuyết phục. Hãy xem xét bất kỳ thông báo nào bạn nhận được, đối xử thận trọng với những tin nhắn bất ngờ đề cập đến công việc của bạn, và siết chặt những điều cơ bản trên các tài khoản bạn có tại các cổng thông tin chuyên môn. Để có bối cảnh rộng hơn về tội phạm mạng nhắm vào các tổ chức Nhật Bản, hãy đọc báo cáo của chúng tôi về vụ bắt giữ ransomware Qilin tại Nhật Bản.
