Der Generalstaatsanwalt von New York hat nach grundlegenden Sicherheitslücken eine Einigung in einem Fall von Datenschutzverletzung im medizinischen Bereich erzielt, von der 13,3 Millionen Menschen betroffen waren.
Perry Johnson & Associates (PJ&A) und vier verbundene Unternehmen haben sich nach einem Datenleck, bei dem persönliche und medizinische Daten von über 13,3 Millionen Menschen offengelegt wurden, zur Zahlung von 300.000 US-Dollar und zur Umsetzung umfassender Sicherheitsreformen verpflichtet. Bei Nichteinhaltung der Vergleichsbedingungen drohen ihnen weitere Strafen in Höhe von 9,7 Millionen US-Dollar.
Die New Yorker Generalstaatsanwältin Letitia James gab die Vereinbarung am 6. November gemeinsam mit den Generalstaatsanwälten von Connecticut, Michigan und New Jersey bekannt. Rund 4,2 Millionen der Betroffenen waren Einwohner von New York.
Die Untersuchung beschreibt eine Reihe von Fehlern: Fernzugriff ohne Multifaktor-Authentifizierung , nahezu identische Passwörter, die per E-Mail verbreitet wurden, sensible Dateien ohne Dateiverschlüsselung und Sicherheitssoftware, die zwar schädliche Aktivitäten erkannte, aber das Sicherheitspersonal nicht alarmierte.
Das Ergebnis: Die Unternehmen entdeckten den Angriff erst, als die Angreifer sie am 2. Mai 2023 kontaktierten und eine Zahlung forderten.
Wie viele Menschen waren betroffen?
Die gestohlenen Datenbankdateien enthielten Datensätze von mehr als 13,3 Millionen Menschen, darunter etwa 4,2 Millionen New Yorker.
Frühere Berichte sprachen von rund 8,95 Millionen betroffenen Patienten. Die Vergleichsdokumente nennen nun die höhere Zahl von über 13,3 Millionen. Die tatsächliche Zahl könnte noch höher liegen, da der Generalanwalt feststellte, dass die Angreifer auch auf Dateien in gemeinsam genutzten Netzwerkspeichern zugegriffen hatten, die persönliche Daten und Gesundheitsinformationen enthielten. Die betroffenen Unternehmen überprüften diese Dateien jedoch nicht, um weitere Betroffene zu identifizieren.
Die Informationen umfassten:
- Namen, Geburtsdaten und Wohnadressen.
- Sozialversicherungsnummern.
- Krankenakten- und Krankenhauskontonummern.
- Versicherungsinformationen.
- Aufnahmediagnosen und Behandlungsdaten.
- Klinische Informationen aus medizinischen Aufzeichnungen, einschließlich Testergebnissen, Medikamenten, Behandlungseinrichtungen und Gesundheitsdienstleistern.
Überprüfen Sie, ob Ihre persönlichen Daten offengelegt wurden.
Auch die Benachrichtigungen erfolgten schleppend. PJ&A begann im Juli 2023, Kunden über die gestohlenen Datenbankdateien zu informieren, und die betroffenen Personen wurden zwischen dem 31. Oktober 2023 und dem 8. Februar 2024 benachrichtigt. Der Generalstaatsanwalt von New York stellte fest, dass die Unternehmen gegen die staatlichen Vorschriften verstoßen hatten, einen Datenverstoß so schnell wie möglich und ohne unangemessene Verzögerung offenzulegen.
Die Siedlung
Obwohl die Ankündigung eine Einigung im Wert von bis zu 10 Millionen US-Dollar vorsieht, müssen die Unternehmen 300.000 US-Dollar Strafe an die Bundesstaaten zahlen. Die restlichen 9,7 Millionen US-Dollar sind ausgesetzt und können fällig werden. New York erhält 100.000 US-Dollar aus der ersten Zahlung. Es handelt sich hierbei um Zahlungen an die Bundesstaaten, nicht um eine angekündigte Entschädigungszahlung an Patienten.
Die offengelegten Informationen könnten für Kriminelle wertvoll sein. Unsere Recherchen ergaben, dass gestohlene Identitätspakete im Darknet für nur 95 Cent pro Stück verkauft werden .
Die Einigung sieht außerdem umfangreiche Sicherheitsänderungen für die betroffenen aktiven Unternehmen vor, darunter:
- MFA für einzelne Benutzerkonten, einschließlich Administratorkonten, und für den Fernzugriff auf das Netzwerk.
- Stärkere Passwortverwaltung und Zugriffsbeschränkung auf das, was Mitarbeiter für ihre Arbeit benötigen.
- Verschlüsselung persönlicher und geschützter Gesundheitsdaten.
- Eine Überwachungseinrichtung alarmiert das Sicherheitspersonal automatisch bei verdächtigen Aktivitäten.
- Jährliche Risikobewertungen und Penetrationstests.
- Netzwerksegmentierung und Maßnahmen zur Erkennung und Verhinderung unautorisierter Datenübertragungen.
- Schriftliche Verfahrensanweisungen für den Umgang mit Sicherheitsvorfällen und klarere Regeln für die Aufbewahrung und sichere Entsorgung sensibler Informationen .
Angesichts der Nachlässigkeit, der Anzahl der offengelegten Datensätze und der betroffenen Personen: Glauben Sie, dass die Unternehmen glimpflich davongekommen sind? Teilen Sie uns Ihre Meinung in den Kommentaren mit.
Wie man sicher bleibt
Eine Datenschutzverletzung bedeutet nicht automatisch, dass jemand Ihre Daten missbraucht hat, aber Sie können diese Vorsichtsmaßnahmen ergreifen, während Sie auf weitere Details warten:
- Prüfen Sie unerwartete Nachrichten selbstständig. Lassen Sie sich durch eine Meldung über den Datenverstoß nicht dazu verleiten, auf einen Link zu klicken, sensible Daten preiszugeben oder eine Zahlung zu leisten. Rufen Sie die offizielle Website Ihres Gesundheitsdienstleisters oder Ihrer Versicherung selbst auf oder nutzen Sie Kontaktdaten, denen Sie bereits vertrauen.
- Prüfen Sie Ihre Arztrechnungen und Versicherungsabrechnungen. Achten Sie auf Termine, Untersuchungen, Rezepte oder Leistungen, die Sie nicht erhalten haben. Die Federal Trade Commission (FTC) stuft ungewöhnliche Arztrechnungen und unerwartete Posten in der Leistungsabrechnung (Explanation of Benefits), die die Bearbeitung eines Leistungsantrags durch Ihre Versicherung erläutert, als Warnsignale für medizinischen Identitätsdiebstahl ein. Melden Sie Unstimmigkeiten Ihrem Arzt und Ihrer Versicherung.
- Prüfen Sie Ihre Kreditberichte. Achten Sie auf unbekannte Konten oder Schulden und beanstanden Sie Fehler. Kostenlose Berichte erhalten Sie unter AnnualCreditReport.com .
- Handeln Sie, wenn Sie Anzeichen von Identitätsdiebstahl bemerken. Auf IdentityTheft.gov finden Sie einen Plan zur Wiederherstellung Ihrer Identität. Falls jemand in Ihrem Namen medizinische Leistungen in Anspruch genommen hat, fordern Sie von den beteiligten Leistungserbringern Kopien Ihrer Krankenakten an und bitten Sie schriftlich um Korrekturen.
Medizinischer Identitätsdiebstahl ist nicht nur ein finanzielles Problem, sondern kann auch Ihre Gesundheitsversorgung beeinträchtigen. Jemand, der Ihre Identität missbraucht, um sich behandeln zu lassen oder Versicherungsansprüche geltend zu machen, kann falsche Informationen in Ihre Krankenakte einbringen. Überprüfen Sie daher regelmäßig Ihre Arztrechnungen und melden Sie alle Auffälligkeiten, um diesen Missbrauch aufzudecken.
Seien wir ehrlich, ein Inkognito-Fenster kann nur begrenzt viel leisten.
Sicherheitslücken, Darknet-Handel, Kreditkartenbetrug. Malwarebytes Identity Theft Protection überwacht all dies, benachrichtigt Sie umgehend und bietet eine Versicherung gegen Identitätsdiebstahl.
