CareCloud obaveštava najmanje 345.000 ljudi o krađi zdravstvenih i finansijskih podataka
CareCloud je počeo da obaveštava najmanje 345.000 ljudi čiji su podaci ukradeni iz sistema elektronskih zdravstvenih kartona. Napadači su jednom od šest skladišta podataka pristupali najmanje šest dana, između 10. i 16. marta, dok je incident regulatorima prvi put prijavljen 27. marta.
Zašto je obim incidenta posebno ozbiljan
Kompanija iz Nju Džerzija čuva kartone za više od 45.000 pružalaca zdravstvenih usluga širom SAD, uključujući ordinacije, bolnice i druge medicinske ustanove. Zbog toga jedan kompromitovani sistem može objediniti podatke velikog broja pacijenata i organizacija.
Ukradeni skup obuhvata imena, poštanske adrese i brojeve socijalnog osiguranja, kao i brojeve pasoša i vozačkih dozvola. Među podacima su i brojevi bankovnih računa i platnih kartica, uz medicinske i druge informacije povezane sa zdravljem.
Napad na skladište podataka u AWS-u
CareCloud je potvrdio da su napadači prodrli u skladište hostovano na Amazon Web Services infrastrukturi. Kompanija je navela da je napadač tvrdio da je podatke izneo iz baza, ali nije objasnila kako je zahtev ili dokaz o krađi dostavljen.
Napadač je „tvrdio da je izneo podatke iz baza“.
Nijedna poznata grupa za ransomware ili iznudu nije javno preuzela odgovornost. Broj pogođenih utvrđen je kroz prijave državnim tužilaštvima, uključujući institucije u Kaliforniji, Nju Hempširu, Masačusetsu, Teksasu i Mejnu, pa konačan zbir može biti veći. Direktor Stephen Snyder nije odgovorio na pitanja o incidentu.
Rizik se širi kroz zdravstveni lanac
CareCloud nije izolovan slučaj. Napad na TriZetto pogodio je 3,4 miliona ljudi, dok Incident u NYC Health + Hospitals sa 1,8 miliona žrtava pokazuje razmere istog obrasca: ukradeni su zdravstveni podaci 1,8 miliona osoba i hiljade otisaka prstiju zaposlenih. Craneware je takođe potvrdio krađu značajne količine podataka svojih klijenata.
Za Vaše poslovanje ovo znači da procena dobavljača ne sme stati na ugovoru i sertifikatima. Potrebni su pregled pristupa podacima, segmentacija skladišta, proverljive rezervne kopije, rokovi za prijavu incidenta i unapred pripremljen plan obaveštavanja korisnika i regulatora.