Dane medyczne 13,3 miliona osób ujawnione; firmy płacą 300 000 dolarów

Prokurator generalny Nowego Jorku zawarł ugodę w sprawie naruszenia bezpieczeństwa danych medycznych, które dotknęło 13,3 mln osób po tym, jak doszło do naruszenia podstawowych zasad bezpieczeństwa.

Perry Johnson & Associates (PJ&A) i cztery powiązane z nim firmy zgodziły się zapłacić 300 000 dolarów i wdrożyć szeroko zakrojone reformy bezpieczeństwa po naruszeniu bezpieczeństwa, które ujawniło dane osobowe i medyczne ponad 13,3 miliona osób. Grozi im kolejne 9,7 miliona dolarów kary, jeśli nie wywiążą się z warunków ugody.

Prokurator generalna stanu Nowy Jork Letitia James ogłosiła porozumienie 6 listopada, wraz z prokuratorami generalnymi stanów Connecticut, Michigan i New Jersey. Około 4,2 miliona osób objętych porozumieniem to mieszkańcy Nowego Jorku.

Śledztwo opisuje serię błędów: zdalny dostęp bez uwierzytelniania wieloskładnikowego , niemal identyczne hasła przesyłane pocztą elektroniczną, poufne pliki bez szyfrowania na poziomie plików oraz oprogramowanie zabezpieczające, które wykryło złośliwą aktywność, ale nie zaalarmowało personelu odpowiedzialnego za bezpieczeństwo.

Rezultat: firmy dowiedziały się o ataku dopiero 2 maja 2023 r., kiedy atakujący skontaktowali się z nimi i zażądali zapłaty.

Ile osób zostało dotkniętych?

W skradzionych plikach baz danych znajdowały się dane dotyczące ponad 13,3 mln osób, w tym około 4,2 mln Nowojorczyków.

Wcześniejsze raporty podawały liczbę poszkodowanych pacjentów na około 8,95 miliona. Dokumenty ugody wskazują obecnie na wyższą liczbę, ponad 13,3 miliona. Łączna liczba może być wyższa, ponieważ Prokurator Generalny stwierdził, że atakujący uzyskali również dostęp do plików współdzielonych pamięci masowych zawierających dane osobowe i medyczne, ale firmy nie dokonały przeglądu tych plików w celu zidentyfikowania kolejnych osób dotkniętych atakiem.

Informacje obejmowały:

• Imię i nazwisko, data urodzenia i adres zamieszkania.
• Numery ubezpieczenia społecznego.
• Numery dokumentacji medycznej i konta szpitalnego.
• Informacje o ubezpieczeniu.
• Rozpoznania wstępne i terminy leczenia.
• Informacje kliniczne z zapisów medycznych, obejmujące wyniki badań, leki, placówki lecznicze i dostawców opieki zdrowotnej.

Sprawdź, czy Twoje dane osobowe zostały ujawnione.

SKANUJ TERAZ

Powiadomienia również były opóźnione. Firma PJ&A zaczęła kontaktować się z klientami w sprawie skradzionych plików bazy danych w lipcu 2023 r., a jej klienci powiadomili osoby poszkodowane między 31 października 2023 r. a 8 lutego 2024 r. Prokurator generalny stanu Nowy Jork stwierdził, że firmy naruszyły wymogi stanowe dotyczące jak najszybszego ujawnienia naruszenia i bez nieuzasadnionej zwłoki.

Osada

Chociaż w ogłoszeniu mowa o ugodzie o wartości do 10 milionów dolarów, firmy muszą zapłacić stanom 300 000 dolarów kar. Pozostałe 9,7 miliona dolarów zostało zawieszone i może stać się wymagalne. Nowy Jork otrzyma 100 000 dolarów z początkowej płatności. Są to płatności na rzecz stanów, a nie zapowiadana wypłata odszkodowań dla pacjentów.

Ujawnione informacje mogą być cenne dla przestępców. Nasze badania wykazały, że w dark webie można kupić pakiety skradzionych tożsamości za jedyne 95 centów za sztukę .

Ugoda wymaga również wprowadzenia szeroko zakrojonych zmian w zakresie bezpieczeństwa dla odpowiednich aktywnych spółek, w tym:

• Uwierzytelnianie wieloskładnikowe (MFA) dla indywidualnych kont użytkowników, w tym kont administratorów, i zdalnego dostępu do sieci.
• Bardziej rygorystyczne zarządzanie hasłami i dostęp ograniczony do tego, czego pracownicy potrzebują do wykonywania swoich obowiązków zawodowych.
• Szyfrowanie danych osobowych i chronionych informacji o stanie zdrowia.
• Monitorowanie, które automatycznie powiadamia personel ochrony o podejrzanej aktywności.
• Roczne oceny ryzyka i testy penetracyjne.
• Segmentacja sieci oraz środki mające na celu wykrywanie i zapobieganie nieautoryzowanym transferom danych.
• Pisemne procedury reagowania na incydenty i jaśniejsze zasady przechowywania i bezpiecznego usuwania poufnych informacji .

Biorąc pod uwagę niedbalstwo, liczbę ujawnionych dokumentów i osób, czy uważacie, że firmy wyszły na tym obronną ręką? Dajcie znać w komentarzach.

Jak zachować bezpieczeństwo

Naruszenie bezpieczeństwa nie oznacza automatycznie, że ktoś wykorzystał Twoje dane w niewłaściwy sposób, ale możesz podjąć następujące środki ostrożności, czekając na więcej szczegółów:

• Weryfikuj nieoczekiwane komunikaty samodzielnie. Nie pozwól, aby wiadomość o naruszeniu skłoniła Cię do kliknięcia w link, udostępnienia poufnych informacji lub dokonania płatności. Odwiedź oficjalną stronę internetową swojego lekarza lub ubezpieczyciela albo skorzystaj z danych kontaktowych, którym już ufasz.
• Przejrzyj rachunki medyczne i wyciągi z ubezpieczenia. Sprawdź, czy nie otrzymałeś/aś wizyt, badań, recept lub usług. Federalna Komisja Handlu (FTC) uznaje nietypowe rachunki medyczne i nieoczekiwane pozycje w Wyjaśnieniu Świadczeń, które wyjaśnia, w jaki sposób ubezpieczyciel rozpatrzył wniosek, za sygnały ostrzegawcze kradzieży tożsamości medycznej. Zgłoś rozbieżności swojemu lekarzowi i ubezpieczycielowi.
• Przejrzyj swoje raporty kredytowe. Szukaj nieznanych kont lub długów i kwestionuj błędy. Bezpłatne raporty są dostępne na stronie AnnualCreditReport.com .
• Podejmij działania, jeśli zauważysz oznaki kradzieży tożsamości. Odwiedź stronę IdentityTheft.gov , aby uzyskać plan powrotu do zdrowia. Jeśli ktoś korzystał z opieki medycznej w Twoim imieniu, poproś świadczeniodawców o kopie Twojej dokumentacji medycznej i pisemnie zażądaj korekty.

Kradzież tożsamości medycznej to nie tylko problem finansowy; może również wpłynąć na Twoją opiekę. Ktoś, kto wykorzystuje Twoją tożsamość, aby uzyskać leczenie lub złożyć wniosek o ubezpieczenie, może wprowadzić do Twojej dokumentacji medycznej nieprawdziwe informacje. Sprawdzanie oświadczeń medycznych i zgłaszanie wszelkich niejasności może pomóc w wykryciu takiego nadużycia.

Bądźmy szczerzy, możliwości okna incognito są ograniczone.

Naruszenia, handel w dark webie, oszustwa kredytowe. Ochrona Theft Identity Malwarebytes monitoruje wszystkie te zagrożenia, szybko Cię ostrzega i obejmuje ubezpieczenie od kradzieży tożsamości.