ShinyHunters tuyên bố tấn công Exact Sciences, đe dọa dữ liệu sức khỏe

ShinyHunters gọi tên Exact Sciences là mục tiêu mới nhất

Nhóm tống tiền ShinyHunters đã tuyên bố Exact Sciences Corporation, công ty chẩn đoán thuộc Abbott đứng sau xét nghiệm sàng lọc ung thư ruột kết Cologuard được sử dụng rộng rãi, là nạn nhân mới nhất của chúng. Tuyên bố xuất hiện cùng với một danh sách riêng từ một nhóm khác, Chaos, cho biết đã xâm nhập Sleeman Breweries, một công ty bia Canada. Cả hai tuyên bố nổi lên trong bối cảnh các trang web rò rỉ trên dark web liên tục sôi động, nơi các nhóm ransomware và tống tiền dữ liệu công khai gọi tên các tổ chức để gây áp lực buộc họ trả tiền.

Như thường lệ với những tuyên bố kiểu này, thông tin chi tiết về dữ liệu mà ShinyHunters nói đã lấy được chưa được Exact Sciences hoặc Abbott xác minh độc lập tại thời điểm đưa tin. Các nhóm tống tiền thường xuyên đăng tên nạn nhân trước khi có bất kỳ dữ liệu nào được xác nhận là bị đánh cắp, sử dụng nguy cơ phơi bày làm đòn bẩy. Điều khiến tuyên bố này đáng chú ý không chỉ là tên công ty đi kèm, mà còn là bản chất kinh doanh của chính nó: Exact Sciences xử lý xét nghiệm chẩn đoán liên quan đến sàng lọc ung thư, nghĩa là bất kỳ sự phơi bày dữ liệu nào cũng có thể chạm tới thông tin sức khỏe và di truyền cực kỳ nhạy cảm thay vì chỉ là thông tin đăng nhập thông thường.

Tại sao vi phạm dữ liệu sức khỏe và di truyền mang rủi ro lớn hơn

Không phải mọi vi phạm dữ liệu đều có sức nặng như nhau. Khi cơ sở dữ liệu khách hàng của một nhà bán lẻ bị phơi bày, hậu quả thường liên quan đến mật khẩu bị đánh cắp, chi tiết thanh toán hoặc thông tin tài khoản khách hàng thân thiết – tất cả đều có thể thay đổi hoặc theo dõi. Dữ liệu sức khỏe và di truyền thì khác. Lịch sử chẩn đoán, kết quả xét nghiệm hoặc dấu hiệu di truyền của bệnh nhân không thể đặt lại như mật khẩu. Một khi loại thông tin đó bị phơi bày, nó sẽ tồn tại vĩnh viễn.

Các công ty chẩn đoán như Exact Sciences nằm ở giao điểm giữa hồ sơ y tế và dữ liệu phòng thí nghiệm, nghĩa là một vi phạm có khả năng phơi bày không chỉ tên và chi tiết liên hệ mà còn thông tin về tình trạng bệnh, kết quả xét nghiệm và thông tin bảo hiểm. Sự kết hợp này có giá trị đối với tội phạm vì nó cho phép thực hiện lừa đảo qua mạng có chủ đích cao, đánh cắp danh tính y tế và gian lận bảo hiểm – những điều mà nạn nhân khó phát hiện hơn so với việc chỉ bị xâm phạm thẻ tín dụng.

Đây không phải là lần đầu tiên ShinyHunters nhắm vào dữ liệu liên quan đến sức khỏe. Nhóm này trước đó đã tuyên bố vi phạm 8,8TB dữ liệu của Amazon One Medical, một trường hợp khác mà một công ty liên kết với chăm sóc sức khỏe bị gọi tên trên trang rò rỉ. Sự lặp lại các mục tiêu trong lĩnh vực y tế cho thấy một chiến lược có chủ đích: dữ liệu y tế nhạy cảm tạo ra sự cấp bách và sợ hãi, mà các nhóm tống tiền có thể khai thác để đẩy nhanh đàm phán tiền chuộc.

Các bước bệnh nhân nên thực hiện ngay bây giờ

Nếu bạn đã sử dụng Cologuard hoặc bất kỳ dịch vụ chẩn đoán nào của Exact Sciences, có những bước thiết thực nên thực hiện trong khi chờ công ty điều tra và xác nhận hoặc phủ nhận tuyên bố:

• Theo dõi thông báo chính thức. Các thông báo vi phạm hợp pháp sẽ đến trực tiếp từ Exact Sciences hoặc Abbott, không phải từ email hoặc cuộc gọi không mong muốn yêu cầu bạn xác minh chi tiết tài khoản.
• Cảnh giác với các nỗ lực lừa đảo. Kẻ lừa đảo thường dùng tiêu đề về vi phạm để gửi tin nhắn giả mạo “kết quả của bạn đã sẵn sàng” hoặc “xác minh tài khoản”. Hãy hoài nghi với bất kỳ tin nhắn nào đề cập đến kết quả xét nghiệm và yêu cầu bạn nhấp vào liên kết hoặc cung cấp thông tin cá nhân.
• Rà soát báo cáo bảo hiểm và y tế. Đánh cắp danh tính y tế thường biểu hiện đầu tiên qua các khoản phí hoặc dịch vụ không quen thuộc trên bản giải trình quyền lợi bảo hiểm.
• Cân nhắc đóng băng tín dụng hoặc cảnh báo gian lận nếu bạn lo ngại về hành vi đánh cắp danh tính phát sinh từ bất kỳ chi tiết cá nhân nào bị phơi bày, ngay cả khi bản thân dữ liệu di truyền không thể bị “đóng băng”.
• Hỏi nhà cung cấp về việc lưu giữ dữ liệu. Bệnh nhân có quyền hỏi phòng thí nghiệm hoặc công ty chẩn đoán lưu giữ dữ liệu xét nghiệm trong bao lâu và liệu nó có được chia sẻ với bên thứ ba hay không.

Một mô hình nhắm mục tiêu vào y tế và tổ chức

ShinyHunters đã tạo dựng danh tiếng về việc tuyên bố các vi phạm quy mô lớn trên nhiều lĩnh vực, không chỉ y tế. Nhóm này trước đây đã tuyên bố 275 triệu hồ sơ trong một vi phạm liên quan đến Instructure, công ty đứng sau nền tảng học tập Canvas, và riêng rẽ tuyên bố đã đánh cắp 297 GB dữ liệu từ hệ thống nhân sự của Hội đồng Châu Âu. Các tổ chức giáo dục cũng cảm nhận tác động gián tiếp của những chiến dịch này, như đã thấy khi một vi phạm dữ liệu Canvas thứ hai làm gián đoạn kỳ thi tại Penn State và các trường đại học khác.

Gộp lại, những tuyên bố này cho thấy một nhóm sẵn sàng theo đuổi mục tiêu trên khắp giáo dục, chính phủ và giờ đây là chẩn đoán y tế, bất cứ nơi nào tập trung khối lượng lớn dữ liệu cá nhân nhạy cảm. Tuyên bố về Sleeman Breweries của Chaos, xuất hiện trong cùng chu kỳ tin tức, phản ánh mô hình tống tiền này đã trở nên phổ biến như thế nào trên các ngành công nghiệp vốn xa rời những lo ngại an ninh mạng truyền thống.

Điều này có ý nghĩa gì với bạn

Ngay cả trước khi Exact Sciences xác nhận hoặc phủ nhận phạm vi của sự cố này, bản thân tuyên bố đã là một lời nhắc nhở rằng các công ty y tế và chẩn đoán là những mục tiêu hấp dẫn chính vì dữ liệu họ nắm giữ không thể dễ dàng thay thế. Bệnh nhân nên thận trọng với bất kỳ thông tin liên lạc nào đề cập đến kết quả xét nghiệm hoặc quyền truy cập tài khoản cho đến khi có tuyên bố chính thức làm rõ chuyện gì đã xảy ra.

Điểm chính cần ghi nhớ

• ShinyHunters đã tuyên bố Exact Sciences Corporation, thuộc sở hữu của Abbott, là nạn nhân mới trên một trang rò rỉ dark web.
• Vi phạm dữ liệu sức khỏe và di truyền mang rủi ro lâu dài vì thông tin này không thể đặt lại như mật khẩu.
• Bệnh nhân đã sử dụng dịch vụ Cologuard hoặc Exact Sciences nên đề phòng các nỗ lực lừa đảo và rà soát báo cáo y tế, bảo hiểm để phát hiện bất thường.
• Tuyên bố này phù hợp với mô hình rộng hơn của ShinyHunters nhắm vào các kho lưu trữ lớn dữ liệu cá nhân nhạy cảm trên các lĩnh vực y tế, giáo dục và tổ chức.

Khi các chi tiết dần lộ diện, việc cập nhật thông tin qua các tuyên bố đã được xác minh của công ty, thay vì phản ứng trước những tuyên bố chưa được xác nhận trên dark web, vẫn là cách hiệu quả nhất để bệnh nhân tự bảo vệ mình.