Dados de Pacientes Foram Roubados Depois que uma Tentativa de Phishing por E-Mail Atingiu o Children's Mercy Hospital

Você precisa usar de sagacidade quando estiver on-line. Um único lapso de concentração e você pode dar aos hackers a chance de causar algum dano real. Quando você está no trabalho, as consequências potenciais de um erro de segurança cibernética são ainda mais graves. No escritório, não é mais apenas sobre os seus dados. Podem ser os dados de muito mais pessoas que estão em risco. No caso do Children's Mercy Hospital, no Kansas, estamos falando sobre dezenas de milhares de pessoas, a maioria crianças.

O ataque cibernético no hospital ocorreu há mais de sete meses e, não há como minimizar isso; foi completamente evitável. Em janeiro, o Children's Mercy publicou uma notificação de violação no seu site, informando que uma parte não autorizada havia baixado dados pessoais de alguns pacientes do hospital. As informações expostas incluíam nomes, data de nascimento, altura, peso, informações clínicas, diagnóstico, condição, data de admissão, data de alta, etc., e os bandidos puseram as mãos nelas depois de executarem um dos mais simples golpes on-line - phishing.

O anúncio oficial não diz muita coisa, mas podemos deduzir que alguns funcionários inadvertidamente entregaram as suas credenciais de login para os hackers depois de clicar em links de e-mail que não deveriam ter sido clicados. Em 2 de dezembro, a equipe de TI do hospital percebeu o acesso não autorizado a duas caixas de entrada, mas, em vez de redefinir todas as senhas de e-mail, eles apenas desligavam o acesso às contas afetadas. Não é de surpreender que, nas semanas seguintes, os hackers tenham invadido algumas caixas de entrada de e-mail, e foi só no final de janeiro que o pessoal de TI do hospital percebeu que os dados haviam sido retirados.

Na época, o Children's Mercy disse que os especialistas ainda estão avaliando os danos e não podem confirmar quantos pacientes foram afetados. Agora, mais de cinco meses depois, temos um número definitivo. Um porta-voz recentemente disse ao The Kansas City Star que pouco mais de 63 mil pessoas tiveram seus dados vazados. Os representantes do hospital ainda estão trabalhando para entrar em contato com todas as vítimas e prometeram que todas as pessoas afetadas receberão gratuitamente um ano de proteção contra roubo de identidade.

Agora você pode ver por que tantas organizações gastam milhares em treinamento anti-phishing para os seus funcionários. O fato de várias contas terem sido comprometidas mostra claramente que os funcionários do Children's Mercy simplesmente não entenderam a ameaça. A equipe de TI do hospital provavelmente também deveria ter tomado precauções mais sérias após a invasão das primeiras caixas de entrada. Especialmente quando você considera que este não é o primeiro incidente de segurança cibernética relacionado ao Children's Mercy Hospital no Kansas, Missouri.

No ano passado, um médico que trabalhava no hospital estava tentando criar um recurso educacional e publicou detalhes pessoais de cerca de 5.500 pacientes na Internet. Ele achava que os dados estavam protegidos por uma senha, mas esse acabou não sendo o caso.

As organizações de saúde nos Estados Unidos são obrigadas, por lei, a divulgar cada violação de dados, e há um portal especial que agrega e torna as informações públicas. De acordo com ele, em 27 de junho, o Children's Mercy Hospital relatou uma violação que afeta pouco menos de 1.500 indivíduos. Não há detalhes adicionais disponíveis, e não há informações no site do hospital, por isso não podemos ter certeza se esse incidente está de alguma forma relacionado aos ataques de phishing de dezembro e janeiro. É seguro dizer, no entanto, que os pacientes, e neste caso em particular, seus pais, provavelmente estão se sentindo um pouco desconfortáveis ​​com a coisa toda.

As organizações de saúde são alvo de ataques cibernéticos bem sucedidos todos os dias, o que mostra que eles não estão muito bem preparados quando se trata de proteger os dados dos pacientes. Só podemos esperar que eles, em breve, comecem a prestar mais atenção ao problema. Também devemos estar mais conscientes sobre a ameaça de phishing. Afinal, você não quer ser a próxima pessoa que seguirá um link e, inadvertidamente, exporá os dados de dezenas de milhares de indivíduos inocentes.