Egészségügyi adatokra fáj a foguk a tolvajoknak

Az egészségügyi szektort egyre nagyobb nyomás alá helyezik a kiberbűnözők. A legutóbb napvilágra került akciójukat több mint egymillió ember adata bánta.
 

A Biztonságportálon nemrégen számoltunk be arról, hogy az egészségügyi adatok egyre nagyobb értéket képviselnek az internetes feketepiacon, aminek következtében az azokat veszélyeztető támadások száma is emelkedik. A Vormetric cég felmérése szerint az egészségügyben tevékenykedő intézmények, szervezetek 92 százaléka saját bevallása szerint is sebezhető a különféle támadásokkal szemben, és egyre inkább aggódnak a biztonsági problémák miatt. A Ponemon Institute kutatása pedig arra világított rá, hogy a félelmek nem alaptalanok, ugyanis 2010 óta 125 százalékkal nőtt az egészségügyi adatokra pályázó támadások száma. Ráadásul a felmérésbe bevont szervezetek 91 százaléka tapasztalt legalább egy adatbiztonsági incidenst az elmúlt két év során. Közülük 40 százaléknyian több mint öt jelentős támadásról számoltak be. 

Az egészségügyi szektort érintő biztonsági kihívások súlyát jól szemlélteti a CareFirst esete is. Az amerikai biztosító a Mandiant szakembereit kérte fel arra, hogy auditálják a rendszereit. A vizsgálatok során derült fény arra, hogy még 2014 júniusában illetéktelenek hozzáfértek a cég egyik adatbázisához, és körülbelül 1,1 millió regisztrált felhasználó adatát szivárogtathatták ki. A kompromittált adatbázisban azon személyek adatai szerepeltek, akik korábban regisztráltak a CareFirst weboldalán. Elsősorban felhasználónevek, születési dátumok és előfizetői azonosítók kerülhettek illetéktelen kezekbe.

Szerencse a szerencsétlenségben

A CareFirst már korábban is pontosan tisztában volt a kiberbtámadások kockázataival, ezért próbálta azokat csökkenteni. Noha az most már biztos, hogy mindezt nem sikerült kellő mértékben megtennie, de azért nem minden védelmi intézkedés volt hiábavaló. Például a cég a jelszavakat egy elkülönített adatbázisban, titkosítottan tárolta, így a szóban forgó incidens során az elkövetők nem tudtak azokhoz hozzáférni. Ugyancsak különálló adatbázisban voltak megtalálhatóak a társadalombiztosítási számok, az egészségügyi adatok és a bank-, illetve hitelkártyaszámokat is magukban foglaló pénzügyi információk. Ezáltal az elkövetők ezeket sem tudták megkaparintani. Mindez pedig igencsak tanulságos lehet más szervezetek számára, melyek ilyen szintű adatszeparációt még nem alkalmaznak. 

Indul a kárenyhítés

Noha az eddigi vizsgálatok szerint pénzügyi adatok nem kerültek rossz kezekbe, azért a CareFirst biztosra akar menni, és minden érintett felhasználó számára kétéves hitelkártya-monitorozó szolgáltatásra fizet elő. "Nagyon sajnáljuk a történteket. Biztosak akarunk lenni abban, hogy jól felmértük az incidens kiterjedését, és látjuk azt, hogy mely információk voltak érintettek, és melyek nem. Noha a lopott adatokat csak korlátozottan tudják felhasználni a támadók, meg akarjuk védeni az ügyeleinket attól, hogy az adataikkal az elkövetők visszaéljenek" - nyilatkozta Chet Burrell, a CareFirst elnöke. Az incidenskezelési intézkedések sorát a vállalat azzal is kiegészítette, hogy az érintett felhasználói fiókok esetében jelszómódosítást írt elő. 

Nem lehet félvállról venni a biztonságot

Kevin Watson, a Netsurion vállalat elnök-vezérigazgatója a napvilágra került incidens kapcsán kifejtette, hogy már korábban megkongatták a vészharangokat, és felhívták az egészségügyi szektor képviselőinek figyelmét a potenciális veszélyforrásokra. Ugyan a CareFirst esetében érzékeny egészségügyi információk nem szivárogtak ki, de azért az eltulajdonított adatok révén az elkövetők számára szabaddá vált az út az adathalász támadások előtt. Fontos azt is megjegyezni, hogy e biztonsági kockázatokat nemcsak az amerikai szervezeteknek, intézményeknek kell kezelniük, hiszen világszintű problémáról van szó.