1,6 mln. nukentėjo nuo didžiulio duomenų pažeidimo Laboratory Services kooperatyve

Medicininių tyrimų teikėjas Laboratory Services Cooperative (LSC) patvirtino niokojantį duomenų pažeidimą, dėl kurio buvo atskleista maždaug 1,6 mln. asmenų asmeninė ir medicininė informacija. Incidentas, įvykęs 2024 m. spalį, sukėlė rimtą susirūpinimą dėl sveikatos priežiūros duomenų saugumo ir didėjančios kibernetinių atakų, nukreiptų į medicinos sektorių, grėsmės.

VPK teigimu, pažeidimas buvo nustatytas spalio 27 d., kai grėsmės veikėjas sėkmingai įsiskverbė į organizacijos tinklą ir išfiltravo daugybę failų, kuriuose yra labai konfidencialios informacijos. Sugadinti duomenys turi įtakos tiek pacientams, tiek darbuotojams, įskaitant tuos, kurie yra susiję su pasirinktais planuotos tėvystės centrais.

Kokia informacija buvo pavogta per VPK duomenų pažeidimą?

Atskleidžiamos informacijos apimtis kelia nerimą. Gali būti, kad nukentėjusių asmenų vardai, namų adresai, telefono numeriai, elektroninio pašto adresai, gimimo datos ir socialinio draudimo numeriai buvo pavogti. Be to, buvo pažeisti vairuotojo pažymėjimo numeriai, valstybės išduoti asmens tapatybės dokumento ar paso numeriai ir išsami sveikatos draudimo informacija.

Kai kuriems pacientams pažeidimas išsiplėtė dar labiau, atskleidžiant išsamią diagnozės ir gydymo informaciją, medicinos paslaugų datas ir vietas, medicininių įrašų numerius ir laboratorijos rezultatus. Šio tipo duomenys yra ypač jautrūs, nes gali būti naudojami medicininės tapatybės vagystės arba aukoms šantažuoti.

Tarp pavogtos informacijos buvo ir finansiniai duomenys. Banko sąskaitų numeriai, mokėjimo kortelių duomenys, atsiskaitymo įrašai, pretenzijų numeriai ir kiti asmeniniai finansiniai identifikatoriai dabar gali būti kibernetinių nusikaltėlių rankose. VPK taip pat patvirtino, kad išpuolio metu buvo gauta informacija, susijusi su jos darbuotojų išlaikytiniais ar naudos gavėjais.

Planuojami tėvystės pacientai tarp nukentėjusiųjų

LSC pažymėjo, kad dalis pažeistų duomenų apima pacientus iš pasirinktų planuotos tėvystės vietų. Organizacija pabrėžė, kad ne visi centrai buvo paveikti – gali būti paveikti tik tie, kurie iš VPK gauna laboratorinių tyrimų paslaugas.

„Prašome informuoti, kad šis incidentas nebuvo susijęs su visais planuotos tėvystės centrais“, – teigiama organizacijos oficialiame pranešime apie pažeidimą. „Tai konkrečiai galėjo turėti įtakos tik tiems centrams, kurie gavo laboratorinių tyrimų paslaugas iš LSC.

Nors LSC dar neatskleidė konkretaus kibernetinės atakos metodo arba ar buvo bandoma prievartauti, organizacija pasikvietė trečiųjų šalių kibernetinio saugumo ekspertus, kad ištirtų incidentą ir stebėtų, ar pavogtais duomenimis nėra piktnaudžiaujama. Kol kas nėra jokių įrodymų, rodančių, kad pažeista informacija buvo platinama arba parduota tamsiajame internete.

VPK atsako su tapatybės apsaugos ir stebėjimo tarnybomis

Meino generalinei prokuratūrai pateiktame teisės aktų nustatyta tvarka VPK patvirtino, kad nukentėjo 1,6 mln. Organizacija tiems, kuriems tai paveikė, siūlo 12 arba 24 mėnesių nemokamas kredito stebėjimo ir medicininės tapatybės apsaugos paslaugas, priklausomai nuo informacijos, kuri buvo pažeista.

Nepaisant šių pastangų, pažeidimas kelia kritinių klausimų, kaip sveikatos priežiūros paslaugų teikėjai saugo pacientų duomenis ir ar pramonė yra pasirengusi atremti vis sudėtingesnes kibernetines grėsmes. Tiek medicininių, tiek finansinių įrašų vagystė kelia dvigubą riziką aukoms, kurios dabar gali susidurti su tapatybės vagystės, sukčiavimo ar dar blogiau.

Tęsiant tyrimus nukentėjusieji raginami išlikti budrūs, atidžiai stebėti savo finansines ir medicinines sąskaitas bei pasinaudoti siūlomomis apsaugos paslaugomis. Šis incidentas yra dar vienas priminimas apie didelius su sveikatos priežiūros kibernetiniu saugumu susijusius iššūkius ir apie stipresnės, aktyvesnės gynybos poreikį.