Номера социального обеспечения пациентов были скомпрометированы в результате нарушения данных о медицинском обслуживании в MU

Люди склонны забывать, что наиболее важной задачей после обнаружения взлома данных является защита конфиденциальности пользователя. Вместо этого они часто сосредотачиваются на том, чтобы выяснить, кто или что виноват в инциденте. Давайте на минутку воспользуемся этим подходом и посмотрим, кто несет ответственность за нарушение, о котором Миссури Health Care (MU Health Care) сообщило на прошлой неделе.

Доступ к данным пациентов MU Health Care осуществлялся через скомпрометированные учетные записи электронной почты

Около восьми месяцев назад стало очевидно, что некоторым учащимся Университета Миссури, связанным с MU Healthcare, были скомпрометированы их учетные записи электронной почты. «Несанкционированное лицо» впервые взломало 19 сентября 2019 года, и, хотя MU Health Care узнало об атаке 21 сентября, нарушение не было закрыто до 26 сентября.

В почтовых ящиках студентов киберпреступники обнаружили довольно много личной информации, относящейся к пациентам MU Health Care, включая имена, даты рождения, данные медицинского страхования, «ограниченное» лечение и клиническую информацию, а также «небольшое количество» социального обеспечения. номера. За нападением последовало длительное расследование, в ходе которого MU Health Care удалось выявить всех пострадавших пациентов. Однако по какой-то причине в объявлении не упоминается, как много людей раскрыли свою информацию.

MU Healthcare: это была аттестация

В объявлении MU Health Care было указано, что хакерам удалось взломать учетные записи электронной почты из-за слабых навыков управления паролями у студентов. Согласно пресс-релизу, у них были аккаунты в сторонней службе, которые были взломаны. В указанном сервисе они использовали идентичные имена пользователей и пароли для тех, кто защищал свои электронные письма, и хакеры воспользовались этим. Другими словами, они были атакованы аттестацией.

MU Health Care пытается объяснить, что его системы не были скомпрометированы и что единственной причиной нарушения является повторное использование пароля студентами. Действительно, вся концепция заполнения учетных данных стала возможной благодаря тому факту, что люди используют идентичные пароли для множества различных сервисов, и это лишь последняя из, казалось бы, бесконечной линии атак, показывающих, насколько серьезными могут быть последствия этого.

Многие люди могут прийти к выводу, что ответственность за это нарушение несут только студенты. Однако немного контекста может изменить их мнение.

Это не первое нарушение для MU Health Care

В апреле 2019 года, за несколько месяцев до этого инцидента, MU Health Care перенесло аналогичное нарушение. В этом случае учетные записи электронной почты некоторых сотрудников организации были скомпрометированы, и внутри них хакеры обнаружили личные данные более 14 тысяч пациентов. Когда несколько месяцев спустя компания MU Health Care объявила об атаке, она не смогла рассказать, как преступникам удалось взломать систему, а также не сообщила нам, какие меры она предпринимает для защиты пациентов от подобных атак.

Может показаться логичным ввести двухфакторную аутентификацию (2FA) для связанных учетных записей электронной почты после такого нарушения. Кто-то может даже сказать, что его применение - это первый шаг к лучшей защите данных пациентов. К сожалению, MU Health Care решила этого не делать, и это позор, потому что это остановило бы атаки сентября 2019 года.