Die Sozialversicherungsnummern der Patienten wurden bei einem MU Health Care Data Breach kompromittiert

Menschen neigen dazu zu vergessen, dass die wichtigste Aufgabe nach dem Erkennen eines Datenverstoßes der Schutz der Privatsphäre des Benutzers ist. Stattdessen konzentrieren sie sich oft darauf, herauszufinden, wer oder was für den Vorfall verantwortlich ist. Lassen Sie uns diesen Ansatz für einen Moment betrachten und sehen, wer für den Verstoß verantwortlich ist, den Missouri Health Care (MU Health Care) letzte Woche gemeldet hat.

Auf die Daten von MU Health Care-Patienten wurde über kompromittierte E-Mail-Konten zugegriffen

Vor ungefähr acht Monaten stellte sich heraus, dass bei einigen Studenten der Universität von Missouri, die mit MU Health Care verbunden sind, ihre E-Mail-Konten kompromittiert worden waren. Die "nicht autorisierte Person" brach am 19. September 2019 zum ersten Mal ein, und obwohl MU Health Care am 21. September von dem Angriff erfuhr, wurde der Verstoß erst am 26. September besiegelt.

In den Posteingängen der Schüler fanden die Cyberkriminellen eine ganze Reihe persönlicher Informationen von MU Health Care-Patienten, darunter Namen, Geburtsdaten, Krankenversicherungsdaten, "begrenzte" Behandlungs- und klinische Informationen sowie "eine kleine Anzahl" von Sozialversicherungen Zahlen. Dem Angriff folgte eine langwierige Untersuchung, bei der es MU Health Care gelang, alle betroffenen Patienten zu identifizieren. Aus irgendeinem Grund wird in der Ankündigung jedoch nicht erwähnt, wie viele Personen ihre Informationen offengelegt haben.

MU Health Care: Es war ein Anfüllungsangriff

In der Ankündigung von MU Health Care wurde schnell darauf hingewiesen, dass es den Hackern aufgrund der schlechten Passwortverwaltungsfähigkeiten der Schüler gelungen ist, in die E-Mail-Konten einzudringen. Laut der Pressemitteilung hatten sie Konten bei einem Drittanbieter, gegen die verstoßen wurde. Bei diesem Dienst verwendeten sie identische Benutzernamen und Passwörter wie diejenigen, die ihre E-Mails schützen, und die Hacker nutzten dies aus. Mit anderen Worten, sie wurden von einem Anmeldeinformationsangriff getroffen.

MU Health Care versucht zu erklären, dass seine Systeme nicht kompromittiert wurden und dass der einzige Grund für den Verstoß die Wiederverwendung des Passworts der Schüler ist. In der Tat wird das gesamte Konzept des Ausfüllens von Anmeldeinformationen durch die Tatsache ermöglicht, dass Benutzer identische Passwörter für viele verschiedene Dienste verwenden, und dies ist nur das Neueste einer scheinbar endlosen Reihe von Angriffen, die zeigen, wie schlimm die Folgen davon sein könnten.

Viele Leute könnten zu dem Schluss kommen, dass die einzigen, die für diesen Verstoß verantwortlich sind, die Studenten sind. Ein bisschen Kontext könnte jedoch ihre Meinung ändern.

Dies ist nicht der erste Verstoß für MU Health Care

Im April 2019, einige Monate vor diesem Vorfall, erlitt MU Health Care einen sehr ähnlichen Verstoß. In diesem Fall wurden die E-Mail-Konten einiger Mitarbeiter der Organisation kompromittiert, und in ihnen fanden die Hacker die persönlichen Daten von mehr als 14.000 Patienten. Als MU Health Care einige Monate später den Angriff ankündigte, konnte es nicht sagen, wie die Kriminellen einbrachen, und es wurde uns auch nicht mitgeteilt, welche Maßnahmen zum Schutz der Patienten vor ähnlichen Angriffen ergriffen werden.

Es mag logisch erscheinen, nach einem solchen Verstoß eine Zwei-Faktor-Authentifizierung (2FA) für verbundene E-Mail-Konten einzuführen. Einige könnten sogar sagen, dass die Durchsetzung der erste Schritt zum besseren Schutz der Patientendaten ist. Leider hat MU Health Care beschlossen, dies nicht zu tun, was schade ist, da es den Angriff vom September 2019 gestoppt hätte.