Das Medtronic-Leck zeigt, warum das Risiko von Gesundheitsdaten über Jahre bestehen bleibt
Berichten zufolge benachrichtigte Medtronic Kunden nach einem mit ShinyHunters in Verbindung stehenden Sicherheitsvorfall, der persönliche und medizinische Informationen betraf, was das langfristige Risiko von Gesundheitsdaten verdeutlicht.
Unterstützendes Bild: U.S. Navy-Foto von Photographer's Mate 3rd Class Jason T. Poplin, über Wikimedia Commons, Public Domain.
SecurityWeek berichtete diese Woche, dass ein Datenleck bei Medtronic 3,8 Millionen Menschen betraf, wobei ShinyHunters im April auf die IT-Systeme des Unternehmens zugriffen und persönliche sowie medizinische Informationen stahlen. Medtronic benachrichtigte zudem betroffene Kunden, nachdem persönliche Daten einem unbefugten Dritten zugänglich gemacht wurden.
Verstöße im Gesundheitswesen unterscheiden sich von gewöhnlichen Kontolecks, weil die offengelegten Daten schwerer zu ersetzen sind. Ein Passwort kann zurückgesetzt werden. Eine Kreditkarte kann neu ausgegeben werden. Krankengeschichte, Patientenkennungen, Diagnosekontext, Behandlungszusammenhänge und versicherungsbezogene Daten können einer Person über Jahre hinweg folgen.
Warum Gesundheitsdaten so wertvoll sind
Gesundheitsakten kombinieren Identitäts-, Finanz- und stark persönliche Informationen. Das macht sie für verschiedene Formen von Missbrauch nützlich:
- Identitätsdiebstahl und synthetischer Identitätsbetrug.
- Versicherungsbetrug und medizinische Abrechnungsbetrügereien.
- Gezielt auf Phishing abzielend, das sich auf echte Pflegebeziehungen bezieht.
- Erpressung oder Rufdruck unter Verwendung sensibler Gesundheitsinformationen.
- Langfristiger Wiederverkauf, da medizinische Details nicht schnell veralten.
Für Angreifer können Gesundheitsdaten auf mehr Arten monetarisiert werden als nur durch ein einfaches Datenleck von Zugangsdaten.
Die ShinyHunters-Faktor
ShinyHunters wurde wiederholt mit großem Datendiebstahl und Erpressungsaktivitäten in Verbindung gebracht. Die Gruppe ist bemerkenswert, weil viele moderne Sicherheitsverletzungen keine exotische Malware oder Zero-Day-Exploits erfordern. Der Zugriff kann über gestohlene Anmeldedaten, Cloud-Fehlkonfigurationen, Systeme Dritter, exponierte Anwendungen oder Social Engineering erfolgen.
Das ist die unangenehme Lektion für Gesundheitsorganisationen und Medizintechnikunternehmen: Der schädlichste Verstoß kann als gewöhnliches IT-Zugriffsproblem beginnen.
Was betroffene Personen tun sollten
Personen, die über eine Datenschutzverletzung im Gesundheitswesen informiert werden, sollten davon ausgehen, dass das Risiko langfristig besteht.
- Achten Sie auf Abrechnungsbescheide, Versicherungsansprüche oder Mitteilungen von Leistungserbringern, die nicht mit den tatsächlichen Vorgängen übereinstimmen.
- Sperren Sie, wo möglich, Ihren Kredit.
- Seien Sie misstrauisch gegenüber Anrufen oder E-Mails, die medizinische Details erwähnen, um Vertrauen aufzubauen.
- Verwenden Sie starke, einzigartige Passwörter und phishing-resistente MFA in Gesundheitsportalen.
- Bewahren Sie Benachrichtigungen über Datenschutzverletzungen und Aktennummern für zukünftige Streitfälle auf.
Was Gesundheitsorganisationen tun sollten
Programme zur Sicherheit im Gesundheitswesen müssen Patientendaten als wertvolles Gut betrachten, egal wo sie sich befinden, nicht nur innerhalb von klinischen Systemen.
- Kartieren Sie, wo Patienten- und Kundendaten in der gesamten Unternehmens-IT, in Support-Tools, Analysesystemen, Cloud-Speichern und bei Anbietern gespeichert werden.
- Erzwingen Sie das Prinzip der minimalen Berechtigung und zeitlich begrenzten Zugriff auf sensible Datensätze.
- Überwachen Sie große Exporte, ungewöhnliche Abfragen und anormale Zugriffe durch Support- oder Administratorkonten.
- Testen Sie Notfallpläne, die Patientenbenachrichtigungen, Kommunikation mit Aufsichtsbehörden und die Auslastung des Callcenters beinhalten.
- Überprüfen Sie Drittanbieter- und SaaS-Integrationen, die auf Patienteninformationen zugreifen können.
Die Quintessenz
Verstöße im Gesundheitswesen sind Vertrauensereignisse. Sie enden nicht, wenn Benachrichtigungen verschickt oder eine Kreditüberwachung angeboten wird. Die Daten können für Kriminelle lange nach dem Schließen des Tickets durch das Incident-Response-Team weiterhin nützlich sein.