Χιλιάδες αρχεία ασθενών που αποθηκεύονται από την nTreatment, μια εταιρεία που παρέχει ηλεκτρονικά αρχεία υγείας και ασθενών σε γιατρούς και ψυχιάτρους, έχουν εκτεθεί στο Διαδίκτυο λόγω μίας διαρροής δεδομένων.
Όπως αποκάλυψε η TechCrunch, τα δεδομένα ανακαλύφθηκαν σε διακομιστή Microsoft Azure και περιλάμβαναν 109.000 αρχεία, ένα μεγάλο μέρος των οποίων αφορούν αποτελέσματα εργαστηριακών δοκιμών από τρίτους παρόχους, όπως η Laboratory Corp. of America Holdings.
Τα εκτεθειμένα αρχεία περιλάμβαναν επίσης σημειώσεις γιατρών, ασφαλιστικές πληροφορίες, ιατρικά αρχεία και ευαίσθητα δεδομένα για ασθενείς από διάφορες πολιτείες των ΗΠΑ. Ορισμένα από τα δεδομένα που εκτέθηκαν περιλάμβαναν πληροφορίες για την υγεία, οι οποίες προστατεύονται βάσει του νόμου περί φορητότητας και ευθύνης για την ασφάλιση υγείας.
Η εταιρεία ενημερώθηκε για την παραβίαση δεδομένων τη Δευτέρα και επιβεβαίωσε το περιστατικό, λέγοντας ότι ο διακομιστής χρησιμοποιήθηκε ως «αποθήκευση γενικής χρήσης» και ότι θα ειδοποιούσε τους επηρεαζόμενους παρόχους αλλά και τους ρυθμιστές για το συμβάν. Δεν είναι γνωστό εάν κακόβουλοι παράγοντες είχαν πρόσβαση στα δεδομένα προτού ασφαλιστούν.
Η διαρροή θεωρείτε σοβαρή, καθώς η LabCorp δεν έχει πολύ καλό ιστορικό όσον αφορά την ασφάλεια στον κυβερνοχώρο. Τον Ιούλιο του 2018, χτυπήθηκε από ransomware και κλάπηκαν 7,7 εκατομμύρια αρχεία ασθενών, ενώ βρέθηκαν και εκτεθειμένα αρχεία ασθενών μέσω ενός μη ασφαλούς τμήματος του συστήματος διαχείρισης των πελατών τον Ιανουάριο.
Παρόλο που η LabCorp δεν ευθύνεται για την έκθεση δεδομένων της nTreatment, υπάρχει σίγουρα ένα μοτίβο όσον αφορά την προστασία των δεδομένων της εταιρείας. Σύμφωνα με τους ειδικούς, θα έπρεπε να ελέγχει για να βεβαιωθεί ότι οι τρίτοι πάροχοί της έκαναν σωστή δουλειά για τη διασφάλιση των δεδομένων της.
Ο Mark Bagley, αντιπρόεδρος στην εταιρεία ασφάλειας AttackIQ Inc., σημείωσε ότι η βιομηχανία της υγειονομικής περίθαλψης έχει γίνει βασικός στόχος για τους εγκληματίες στον κυβερνοχώρο, επειδή οι προσωπικές πληροφορίες για την υγεία είναι πολύ επικερδείς στις αγορές του Dark Web.
«Τα δεδομένα της υγειονομικής περίθαλψης συνήθως περιέχουν σταθερές πληροφορίες, όπως ημερομηνίες γέννησης και αριθμούς κοινωνικής ασφάλισης, τις οποίες οι hacker μπορούν να χρησιμοποιήσουν για να διαπράξουν κλοπή ταυτότητας τα επόμενα χρόνια», εξήγησε ο Bagley. «Οι οργανισμοί υγειονομικής περίθαλψης που διαχειρίζονται μεγάλες ποσότητες προσωπικών πληροφοριών για την υγεία πρέπει να ακολουθήσουν προληπτικές προσεγγίσεις για την προστασία των δεδομένων τους. Εκτός από τη συνήθη προσέγγιση που επικεντρώνεται στον έλεγχο, πρέπει να προσθέσουν συνεχή αξιολόγηση των υπαρχόντων ελέγχων ασφαλείας τους για να αποκαλύψουν κενά πριν ένας hacker εντοπίσει και εκμεταλλευτεί τυχόν αδυναμίες και να δίνουν ιδιαίτερη προσοχή στην επικύρωση των συνεργατών τους.»
