Schokkend is dat 93% van de gezondheidszorgorganisaties in de VS te maken heeft gehad met een datalek: de grootste inbreuken van 2019

Of u nu een spoedafdeling bezocht, een paar dagen in het ziekenhuis moest blijven of net uw jaarlijkse controle in 2019 had, de kans is groot dat u het slachtoffer bent geworden van een datalek in de gezondheidszorg zonder dat u het wist. Uit een schokkend statistiek bleek onlangs dat 93% van alle zorginstellingen in de VS de afgelopen 5 jaar minstens 1 datalek had gehad. Helaas hadden veel van deze organisaties te maken met meerdere inbreuken, waardoor patiënten natuurlijk meer gevaar liepen. De realiteit is dat het onmogelijk is om dergelijke inbreuken op dit moment volledig te stoppen omdat ziekenhuizen, klinieken, incassobureaus en soortgelijke organisaties nog steeds behoorlijk achterlopen als het gaat om virtuele beveiliging; er is echter hoop dat we het volgende decennium minder inbreuken zullen zien. Voorlopig kunnen we alleen kijken naar de grootste inbreuken op de datagegevens van 2019 en hopelijk iets van hen leren.

Het American Medical Collection Agency leed aan een datalek van 8 maanden

In veel gevallen zijn gegevensinbreuken snel en nemen cybercriminelen vaak de informatie waarnaar ze op zoek zijn en verdwijnen ze. In sommige gevallen zijn cybercriminelen echter in staat om hun kamp op te zetten in de overtreden systemen en vervolgens zo lang mogelijk te blijven profiteren van de waardevolle privégegevens van onschuldige mensen. Dat is wat er gebeurde toen cyberaanvallen met succes het American Medical Collection Agency overtreden. De AMCA werd getroffen in augustus 2018 en de schending was maanden van kracht totdat het werd ontdekt in maart 2019. Het bedrijf is verantwoordelijk voor het verwerken van miljoenen patiëntendossiers terwijl het medische rekeningen en schulden verzamelt. In juni werd het bedrijf gedwongen faillissement aan te vragen nadat het werd getroffen door meerdere rechtszaken na de inbreuk. Helaas hebben 25 miljoen patiënten geassocieerd met BioReference, Carecentrix, Clinical Pathology, LabCorp, Quest en andere zorginstellingen hun persoonlijke gegevens uiteindelijk op ondergrondse fora verkocht. Het blijkt dat dit de nasleep is van de meeste datalekken in de gezondheidszorg van 2019.

Tandartsverzekeraar Dominion National meldde een datalek van 9 jaar in 2019

De AMCA-datalek is misschien wel de grootste van alle datalekken in de gezondheidszorg van 2019, maar als we kijken naar de tijdlijn van een datalek, heeft deze niets te maken met de datalek van Dominion National. Volgens een rapport van healthitsecurity.com werden 2,96 miljoen patiëntengegevens in gevaar gebracht. Dit is een enorm aantal, maar het meest schokkende deel van het incident is dat de servers van het bedrijf naar verluidt 9 jaar lang werden blootgesteld voordat de inbreuk werd ontdekt. In april 2019 was het duidelijk dat persoonlijke informatie was gelekt en daarom werden twee jaar gratis krediet- en fraudebeschermingsdiensten aangeboden. Onnodig te zeggen dat we niet vaak horen over recente datalekken die dateren uit 2010. Kortom, deze inbreuk is het hele decennium overspannen, en dat is een indrukwekkende prestatie voor cybercriminelen. Tegelijkertijd moet men zich afvragen hoeveel het bedrijf heeft geïnvesteerd in de bescherming van patiëntengegevens als gevoelige informatie zo lang is achtergelaten.

Inmediata Health overschreed ook de grens van 1 miljoen records

Zoals u kunt zien, vermelden we de ergste inbreuken op gegevens in de gezondheidszorg van 2019 op basis van het aantal records dat volgens rapporten is overtreden. In mei werd gemeld dat de datalek van Inmediata Health 1,56 miljoen patiënten trof nadat een aantal medische en persoonlijke informatie over hen was achtergelaten, en dat is de laatste inbreuk op de 1 miljoen in 2019. Cyberaanvallen konden hun handen krijgen over patiënteninformatie vanwege de configuratiefout binnen een door het bedrijf ingestelde website. Door deze fout konden zoekmachines pagina's die door Inmediata werden gebruikt, indexeren en toegang krijgen tot de volledige namen, adressen, geboortedata en vergelijkbare privé-informatie van patiënten. Dat gezegd hebbende, was het ten tijde van het rapport onbekend of iemand de blootgestelde gegevens had gekopieerd. Helaas is dat niet alles. Nadat het bedrijf het incident in januari 2019 had ontdekt, werd de gecompromitteerde website verwijderd en vervolgens kregen de getroffen patiënten brieven met informatie over een mogelijke datalek. Schokkend genoeg meldden patiënten dat ze brieven aan andere patiënten ontvingen, waardoor hun privacy verder werd aangetast.

HIPAA-analisten onthulden enkele schokkende statistieken

HIPAA, of de Health Insurance Portability and Accountability Act, werd opgericht in 1996 en wordt gehandhaafd door het Amerikaanse ministerie van Volksgezondheid en Human Services (HHS). De analisten van hipaajournal.com blijven patiënten in de VS informeren over de privacykwesties die zich voordoen, en terwijl we nog steeds wachten op het decemberrapport, onthult het datalekrapport van november nogal wat interessante details. Volgens het was oktober 2019 de slechtste maand voor geregistreerde datalekken in de gezondheidszorg. Bovendien werden 600.877 medische dossiers in november blootgesteld, bekendgemaakt of gestolen. Het is nu ook duidelijk dat 2019 niet het slechtste jaar zal zijn voor inbreuken op de gezondheidszorg in de afgelopen 5 jaar. In 2015 werd een schokkend aantal van 114.306.776 records overtreden. Van januari tot november 2019 werden 38.978.154 records overtreden. Dit lijkt misschien een significante afname, maar als we kijken naar het aantal gebroken records in 2016, 2017 en 2018, kunnen we zien dat we in 2019 2,3, 7,7 en 3,2 (respectievelijk) keer meer gebroken records hebben.

In november 2019 zagen we datalekken bij Ivy Rehab Network, Solara Medical Supplies, Saint Francis Medical Center, Southeastern Minnesota Oral & Maxillofacial Surgery, Elizabeth Family Health, The Brooklyn Hospital Center, Utah Valley Eye Center, Loudoun Medical Group Uitgebreide slaapzorg Center, Choice Cancer Care en Arizona Dental Insurance Services. Volgens HIPAA kwamen de meeste inbreuken voor als gevolg van hackincidenten, minder door onbevoegde toegang en andere door diefstal. In de meeste gevallen werden datalekken geïnitieerd met behulp van phishing-e-mails. Anderen werden uitgevoerd met behulp van gestolen apparaten, ransomware, diefstal door werknemers, mailfouten en inbraken op kantoor.

Moeten we stoppen met vertrouwen in zorgaanbieders?

Vanuit een virtueel beveiligingsstandpunt is het misschien veiliger om een 'arts' zonder vergunning te vinden die controles kan uitvoeren zonder persoonlijke informatie te verzamelen. Als u echter om uw gezondheid geeft, is vertrouwen in mensen zonder vergunning die medicijnen beoefenen het ergste wat u kunt doen. Uiteindelijk, hoewel zorginstellingen in de VS - en elders in de wereld trouwens - vaak worden getroffen door malware en datalekken, betekent dit niet noodzakelijkerwijs dat uw persoonlijke informatie op het punt staat te worden blootgesteld, gestolen en verkocht. Allereerst bieden niet alle datalekken toegang tot de informatie van particuliere patiënten. Ten tweede kunnen niet alle informatielekken u persoonlijk schaden. Dat gezegd hebbende, gegevensovertredingen in de gezondheidszorg kunnen ook ernstig zijn en cybercriminelen kunnen de informatie van particuliere patiënten gebruiken om medicijnrecepten te maken of te betalen voor hun eigen medische rekeningen. Dit kan de verzekeringstarieven van de slachtoffers beïnvloeden en hen zelfs in de schulden brengen.

U kunt hier verder lezen om te leren hoe u medische informatie kunt beschermen. Het komt erop neer dat u proactief moet zijn over uw eigen virtuele beveiliging, en het eerste wat u moet doen is ontdekken hoe de zorgorganisatie waarmee u werkt, is uitgerust om u te beschermen. Als u uw zorgverlener niet vertrouwt, is het misschien tijd dat u iemand zoekt die u betere diensten zal verlenen. Dat gezegd hebbende, de verantwoordelijkheid voor uw eigen veiligheid valt niet alleen op de schouders van een zorgverlener. Ook jij moet voorzichtig zijn. Als u bijvoorbeeld privé medische informatie online vrijgeeft, kan iemand proberen u te chanteren. Sommige providers vereisen dat patiënten online profielen maken en als u zwakke wachtwoorden gebruikt om in te loggen, is de volgende datalek op u. Als je geen idee hebt hoe je sterke wachtwoorden kunt maken en beheren, lees dan dit artikel . Hopelijk zien we in de toekomst een afname van inbreuken op privé-informatie, maar voorlopig kunnen we ons best doen.