Quest Diagnostics подтвердила утечку данных пациентов из системы Quanum

Quest Diagnostics подтвердила кибератаку на лабораторную систему Quanum, в результате которой злоумышленники получили доступ к части записей пациентов. Платформа используется врачебными кабинетами, больницами и медицинскими практиками для заказа лабораторных исследований и биллинга; число затронутых пациентов и клиентов компания пока не назвала.

О происшествии Quest сообщила в форме 8-K, направленной Комиссии по ценным бумагам и биржам США. Компания узнала об атаке в среду, уведомила правоохранительные органы и начала расследование.

Что известно об инциденте

Quanum хранит медицинские сведения пациентов, диагностические данные и информацию, связанную с оплатой услуг. Quest заявила о несанкционированном доступе к «определённым записям пациентов».

В отдельном сообщении на сайте компания указала, что были похищены защищённые медицинские данные, включая персональную информацию и записи пациентов. Какие именно категории сведений оказались у злоумышленников, ещё выясняется.

Quest не раскрыла, когда началось вторжение, была ли установлена связь с атакующей группой и поступали ли требования выкупа. Также неизвестно, сколько медицинских организаций или пациентов могли пострадать.

Масштаб платформы и контекст

Согласно материалам Quest, Quanum применяют около 500 тысяч клиницистов в тысячах точек по всей Северной Америке. Поэтому инцидент потенциально затрагивает систему, через которую проходят значительные объёмы медицинской и расчётной информации, хотя фактический объём скомпрометированных записей не подтверждён.

Это второй известный крупный инцидент с данными Quest за десятилетие. В 2019 году кибератака на стороннюю биллинговую компанию привела к утечке 11,9 млн записей пациентов.

Что это означает для медицинских организаций

Инцидент показывает, что лабораторные и биллинговые платформы остаются критической точкой риска для поставщиков медуслуг. Организациям важно учитывать, какие пациентские и платёжные данные обрабатывают внешние системы, а также заранее определить порядок взаимодействия с поставщиком, расследования и уведомления при инциденте.

Quest продолжает устанавливать состав затронутых данных и масштаб атаки. До публикации результатов расследования нельзя делать выводы о числе пострадавших или характере возможного дальнейшего использования записей.