План медицинского страхования работников штата Кентукки обвиняет последнее нарушение данных о повторном использовании пароля

План по охране здоровья сотрудников Кентукки (KEHP), организация, которая предлагает медицинскую страховку более чем четверти миллиона членов, заключил партнерское соглашение с StayWell, простой онлайн-программой, которая должна вдохновлять людей вести здоровый образ жизни. Члены KEHP получают конкретные советы о том, как улучшить свое физическое самочувствие, и, если они внимательно следят за ними, они могут даже получить финансовое вознаграждение в виде подарочных карт. Если бы только была похожая программа, предназначенная для улучшения их навыков управления паролями.

На прошлой неделе кабинет персонала штата Кентукки объявил, что члены KEHP стали жертвами не одной, а двух кибератак. Мы должны с самого начала отметить, что мы не говорим о самом большом инциденте кибербезопасности, который мы когда-либо видели. В общей сложности пострадали менее 1000 из 265 тысяч членов KEHP, и хотя злоумышленникам удалось получить доступ к некоторым данным оценки состояния здоровья, они не смогли получить слишком много личной или финансовой информации. При этом преступникам удалось уйти с подарочными картами на общую сумму 107 тысяч долларов, что немаловажно, особенно если учесть, насколько легко было организовать атаку.

Члены KEHP пали жертвами нападения с целью проверки документов

Киберпреступники впервые попали 21 апреля, и их действия продолжались в течение следующих шести дней. В течение этого периода хакеры взломали аккаунты 971 члена KEHP в программе StayWell. Оказавшись внутри, им удалось выкупить подарочные карты на общую сумму 100 тысяч долларов.

Расследование показало, что доступ к учетным записям осуществлялся с использованием действительных учетных данных для входа в систему, и, по-видимому, злоумышленник получил имена пользователей и пароли в результате несвязанного нарушения данных. Киберпреступники организовали атаку с использованием учетных данных и надеялись, что члены KEHP будут повторно использовать один и тот же пароль для нескольких служб. Конечно же, их азартная игра окупилась щедро. Они не были сделаны, хотя.

Если он будет использован один раз, он будет использован дважды

12 мая злоумышленники решили посмотреть, насколько плохи привычки членов KEHP в повторном использовании пароля. Они предприняли вторую атаку с использованием учетных данных, но на этот раз они нацелены на учетные записи электронной почты Содружества участников, пострадавших от взлома в апреле. Атака сработала на 42 из 971 целевых учетных записей, что может показаться небольшим, но все же привело к мошенническому выкупу дополнительных подарочных карт стоимостью $ 7 700.

По словам Lexington Herald-Leader, после первой атаки StayWell закрыл веб-сайт, чтобы повысить его безопасность, а Кадровый кабинет штата Кентукки заявил в Твиттере, что он вернется до 30 июня. Мы еще не увидели, какого рода функций, которые он планирует представить, но справедливо сказать, что если люди не узнают, насколько опасно повторно использовать один и тот же пароль в нескольких сервисах, защитить их от атак с использованием учетных данных будет крайне сложно.