De procureur-generaal van New York heeft een schikking getroffen in een zaak rond een datalek met medische gegevens waarbij 13,3 miljoen mensen werden getroffen als gevolg van fundamentele beveiligingsfouten.
Perry Johnson & Associates (PJ&A) en vier aanverwante bedrijven hebben ermee ingestemd om $300.000 te betalen en uitgebreide beveiligingsmaatregelen door te voeren naar aanleiding van een datalek waarbij persoonlijke en medische gegevens van meer dan 13,3 miljoen mensen openbaar werden gemaakt. Als ze zich niet aan de voorwaarden van de schikking houden, riskeren ze nog eens $9,7 miljoen aan boetes.
De procureur-generaal van New York, Letitia James, kondigde de overeenkomst op 6 november aan, samen met de procureurs-generaal van Connecticut, Michigan en New Jersey. Ongeveer 4,2 miljoen van de getroffen personen waren inwoners van New York.
Het onderzoek beschrijft een reeks tekortkomingen: toegang op afstand zonder multifactorauthenticatie , vrijwel identieke wachtwoorden die via e-mail werden verspreid, gevoelige bestanden zonder versleuteling op bestandsniveau en beveiligingssoftware die kwaadwillige activiteiten detecteerde maar het beveiligingspersoneel niet waarschuwde.
Het resultaat: de bedrijven ontdekten de aanval pas toen de aanvallers op 2 mei 2023 contact met hen opnamen en betaling eisten.
Hoeveel mensen werden getroffen?
De gestolen databasebestanden bevatten gegevens van meer dan 13,3 miljoen mensen, waaronder ongeveer 4,2 miljoen inwoners van New York.
Eerdere berichten spraken van ongeveer 8,95 miljoen getroffen patiënten. De schikkingsdocumenten noemen nu een hoger cijfer van meer dan 13,3 miljoen. Het totale aantal zou nog hoger kunnen liggen, aangezien de procureur-generaal heeft vastgesteld dat de aanvallers ook toegang kregen tot bestanden in gedeelde netwerkopslag met persoonlijke en medische gegevens, maar dat de bedrijven die bestanden niet hebben gecontroleerd om andere getroffen personen te identificeren.
De informatie omvatte:
- Namen, geboortedata en huisadressen.
- Burgerservicenummers.
- Medisch dossier en ziekenhuisrekeningnummers.
- Verzekeringsinformatie.
- Diagnoses bij opname en behandeldata.
- Klinische informatie uit medische transcripties, waaronder testresultaten, medicatie, behandelcentra en zorgverleners.
Controleer of uw persoonlijke gegevens zijn blootgesteld.
Ook de meldingen verliepen traag. PJ&A begon in juli 2023 met het informeren van klanten over de gestolen databasebestanden, en de klanten brachten de getroffen personen tussen 31 oktober 2023 en 8 februari 2024 op de hoogte. De procureur-generaal van New York oordeelde dat de bedrijven de wettelijke verplichting om een datalek zo snel mogelijk en zonder onredelijke vertraging te melden, hadden overtreden.
De schikking
Hoewel de aankondiging spreekt van een schikking ter waarde van maximaal 10 miljoen dollar, moeten de bedrijven 300.000 dollar aan boetes aan de staten betalen. De resterende 9,7 miljoen dollar is voorwaardelijk en kan alsnog worden uitbetaald. New York ontvangt 100.000 dollar van de eerste betaling. Dit zijn betalingen aan de staten, geen aangekondigde compensatie aan patiënten.
De gelekte informatie kan waardevol zijn voor criminelen. Ons onderzoek wees uit dat gestolen identiteitspakketten op het dark web voor slechts 95 cent per stuk worden verkocht .
De schikking vereist ook ingrijpende wijzigingen in de beveiliging voor de betreffende actieve bedrijven, waaronder:
- MFA voor individuele gebruikersaccounts, inclusief beheerdersaccounts, en toegang tot het externe netwerk.
- Strengere wachtwoordbeheer en toegang beperkt tot wat medewerkers nodig hebben voor hun werk.
- Versleuteling van persoonlijke en beschermde gezondheidsinformatie.
- Een systeem dat beveiligingspersoneel automatisch waarschuwt voor verdachte activiteiten.
- Jaarlijkse risicobeoordelingen en penetratietesten.
- Netwerksegmentatie en maatregelen om ongeautoriseerde gegevensoverdracht te detecteren en te voorkomen.
- Schriftelijke procedures voor incidentafhandeling en duidelijkere regels voor het bewaren en veilig vernietigen van gevoelige informatie .
Gezien de onzorgvuldigheid, het aantal gelekte gegevens en de betrokken personen, denk je dat de bedrijven er makkelijk vanaf zijn gekomen? Laat het ons weten in de reacties.
Hoe blijf ik veilig
Een datalek betekent niet automatisch dat iemand misbruik heeft gemaakt van uw gegevens, maar u kunt wel de volgende voorzorgsmaatregelen nemen in afwachting van meer informatie:
- Controleer onverwachte berichten zelfstandig. Laat u niet door een bericht over het datalek overhaasten om op een link te klikken, gevoelige informatie te delen of een betaling te doen. Ga zelf naar de officiële website van uw zorgverlener of zorgverzekeraar of gebruik contactgegevens die u al vertrouwt.
- Controleer medische rekeningen en verzekeringsoverzichten. Zoek naar afspraken, onderzoeken, recepten of diensten die u niet hebt ontvangen. De Federal Trade Commission (FTC) beschouwt onbekende medische rekeningen en onverwachte posten op een overzicht van vergoedingen (Explanation of Benefits, oftewel een uitleg van uw verzekeraar over de afhandeling van een claim) als waarschuwingssignalen voor medische identiteitsdiefstal. Meld eventuele afwijkingen aan uw zorgverlener en uw verzekeraar.
- Bekijk uw kredietrapporten. Zoek naar onbekende rekeningen of schulden en betwist fouten. Gratis rapporten zijn verkrijgbaar via AnnualCreditReport.com .
- Onderneem actie als u tekenen van identiteitsdiefstal ziet. Ga naar IdentityTheft.gov voor een herstelplan. Als iemand anders zorg heeft ontvangen op uw naam, vraag dan de betrokken zorgverleners om kopieën van uw medische dossiers en verzoek om correcties schriftelijk.
Identiteitsdiefstal in de medische wereld is niet alleen een financieel probleem; het kan ook gevolgen hebben voor uw zorg. Iemand die uw identiteit gebruikt om een behandeling te krijgen of een verzekeringsclaim in te dienen, kan onjuiste informatie in uw medisch dossier terecht laten komen. Door uw medische gegevens te controleren en alles wat u niet bekend voorkomt te melden, kunt u dergelijk misbruik opsporen.
Laten we eerlijk zijn, een incognito venster kan maar zoveel doen.
Datalekken, handel op het dark web, creditcardfraude. Malwarebytes Identity Theft Protection houdt het allemaal in de gaten, waarschuwt u snel en is inclusief een verzekering tegen identiteitsdiefstal.
