Pacientų socialinės apsaugos numeriai buvo pažeisti pažeidžiant MU sveikatos priežiūros duomenų duomenis

Žmonės linkę pamiršti, kad sužinojus duomenų pažeidimą svarbiausia užduotis yra apsaugoti vartotojo privatumą. Jie dažnai sutelkia dėmesį į tai, kas ar kas kaltas dėl įvykio. Trumpam pasinaudokime tokiu požiūriu ir pažiūrėkime, kas yra atsakingas už pažeidimą, apie kurį praėjusią savaitę pranešė Misūrio sveikatos priežiūros įstaiga (MU sveikatos priežiūra).

MU sveikatos priežiūros pacientų duomenys buvo pasiekiami naudojant pažeistas el. Pašto paskyras

Maždaug prieš aštuonis mėnesius paaiškėjo, kad kai kurių Misūrio universiteto studentų, susijusių su „MU Health Care“, el. Pašto paskyros buvo pažeistos. „Neleistinas asmuo“ pirmą kartą įsilaužė 2019 m. Rugsėjo 19 d. Ir nors „MU Health Care“ sužinojo apie rugsėjo 21 d. Išpuolį, pažeidimas nebuvo užfiksuotas iki rugsėjo 26 d.

Studentų gautuosiuose elektroniniai nusikaltėliai rado gana daug asmeninės informacijos, priklausančios „MU Health Care“ pacientams, įskaitant vardus, gimimo datas, sveikatos draudimo duomenis, „ribotą“ gydymą ir klinikinę informaciją bei „nedidelį skaičių“ socialinės apsaugos skaičiai. Po išpuolio buvo atliktas ilgas tyrimas, kurio metu „MU Health Care“ pavyko nustatyti visus nukentėjusius pacientus. Tačiau dėl tam tikrų priežasčių pranešime neminima, kiek žmonių paviešino savo informaciją.

MU sveikatos priežiūra: Tai buvo kredencialų įdaro išpuolis

„MU Health Care“ pranešime buvo greitai pažymėta, kad įsilaužėliams pavyko įsilaužti į el. Pašto abonementus dėl prastų studentų slaptažodžio tvarkymo įgūdžių. Kaip rašoma pranešime spaudai, jie trečiųjų šalių tarnyboje turėjo sąskaitų, kurios buvo pažeistos. Minėtoje tarnyboje jie naudojo identiškus vartotojo vardus ir slaptažodžius tiems, kurie saugojo savo el. Laiškus, o įsilaužėliai tuo pasinaudojo. Kitaip tariant, juos užklupo kredencialų įdaro ataka.

„MU Health Care“ bando paaiškinti, kad jos sistemos nebuvo pažeistos ir kad vienintelė pažeidimo priežastis yra pakartotinis studentų slaptažodžio naudojimas. Iš tiesų, visą įgaliojimo įdaryti tekstą įgalina tai, kad žmonės naudoja identiškus slaptažodžius daugeliui skirtingų paslaugų, ir tai yra tik paskutinis iš pažiūros begalinės išpuolių eilutės, parodančios, kaip blogos to pasekmės gali būti.

Daugelis žmonių gali padaryti išvadą, kad už šį pažeidimą atsakingi tik studentai. Tačiau šiek tiek kontekstas gali pakeisti jų nuomonę.

Tai nėra pirmas „MU Health Care“ pažeidimas

2019 m. Balandžio mėn., Kelis mėnesius iki šio įvykio, „MU Health Care“ patyrė labai panašų pažeidimą. Tokiu atveju kai kurių organizacijos darbuotojų el. Pašto paskyros buvo pažeistos, o jų viduje įsilaužėliai rado daugiau nei 14 tūkst. Pacientų asmens duomenis. Paskelbusi išpuolį po kelių mėnesių, „MU Health Care“ nesugebėjo pasakyti, kaip nusikaltėliams pavyko įsilaužti, taip pat mums nenurodė, kokių priemonių ji imasi, kad apsaugotų pacientus nuo panašių išpuolių.

Gali atrodyti logiška po tokio pažeidimo įvesti dviejų veiksnių autentifikavimą (2FA) susijusiose el. Pašto paskyrose. Kai kas netgi gali sakyti, kad jos įgyvendinimas yra pirmas žingsnis link geresnės pacientų duomenų apsaugos. Deja, „MU Health Care“ nusprendė to nedaryti, dėl ko apmaudu, nes ji būtų sustabdžiusi 2019 metų rugsėjo ataką savo vėžėse.