Генеральный прокурор штата Нью-Йорк достиг соглашения по делу об утечке медицинских данных , затронувшей 13,3 миллиона человек в результате элементарных нарушений безопасности.
Компания Perry Johnson & Associates (PJ&A) и четыре связанные с ней компании согласились выплатить 300 000 долларов и провести масштабные реформы в области безопасности после утечки данных, в результате которой была раскрыта личная и медицинская информация более чем 13,3 миллионов человек. В случае невыполнения условий соглашения им грозит штраф в размере еще 9,7 миллионов долларов.
Генеральный прокурор Нью-Йорка Летиция Джеймс объявила о соглашении 6 ноября совместно с генеральными прокурорами Коннектикута, Мичигана и Нью-Джерси. Примерно 4,2 миллиона человек, затронутых соглашением, являются жителями Нью-Йорка.
В ходе расследования был выявлен ряд нарушений: удаленный доступ без многофакторной аутентификации , практически идентичные пароли, распространяемые по электронной почте, конфиденциальные файлы без шифрования на уровне файлов, а также программное обеспечение безопасности, которое обнаружило вредоносную активность, но не оповестило сотрудников службы безопасности.
В результате компании обнаружили атаку только тогда, когда злоумышленники связались с ними 2 мая 2023 года и потребовали оплаты.
Сколько человек пострадало?
Похищенные файлы базы данных содержали записи, относящиеся к более чем 13,3 миллионам человек, включая приблизительно 4,2 миллиона жителей Нью-Йорка.
Ранее сообщалось о примерно 8,95 миллионах пострадавших пациентов. В документах по урегулированию спора теперь указана более высокая цифра — более 13,3 миллиона. Общее число может быть выше, поскольку генеральный прокурор обнаружил, что злоумышленники также получили доступ к файлам в общем сетевом хранилище, содержащим личную и медицинскую информацию, но компании не проверили эти файлы для выявления дополнительных пострадавших.
В предоставленную информацию входило:
- Имена, даты рождения и домашние адреса.
- Номера социального страхования.
- Номера медицинских карт и больничных счетов.
- Информация о страховании.
- Диагнозы при поступлении и даты лечения.
- Клиническая информация из медицинских выписок, включая результаты анализов, лекарственные препараты, лечебные учреждения и медицинских работников.
Проверьте, не были ли ваши личные данные раскрыты.
Уведомления также поступали медленно. Компания PJ&A начала связываться с клиентами по поводу украденных файлов базы данных в июле 2023 года, а ее клиенты уведомили пострадавших лиц в период с 31 октября 2023 года по 8 февраля 2024 года. Генеральный прокурор Нью-Йорка установил, что компании нарушили требования штата о раскрытии информации о нарушении безопасности как можно быстрее и без неоправданной задержки.
поселение
Хотя в объявлении говорится о мировом соглашении на сумму до 10 миллионов долларов, компании должны выплатить штатам штраф в размере 300 000 долларов. Выплата оставшихся 9,7 миллионов долларов приостановлена и может быть произведена в будущем. Нью-Йорк получит 100 000 долларов из первоначального платежа. Это платежи штатам, а не объявленная компенсационная выплата пациентам.
Раскрытая информация может представлять ценность для преступников. Наше исследование выявило, что украденные пакеты с личными данными продаются в даркнете всего за 95 центов за штуку .
Соглашение также предусматривает существенные изменения в системе безопасности соответствующих действующих компаний, в том числе:
- Многофакторная аутентификация для отдельных учетных записей пользователей, включая учетные записи администраторов, и для удаленного доступа к сети.
- Более строгая система управления паролями и ограничение доступа только теми данными, которые необходимы сотрудникам для выполнения своих должностных обязанностей.
- Шифрование личной и защищенной медицинской информации.
- Система мониторинга, которая автоматически оповещает сотрудников службы безопасности о подозрительной активности.
- Ежегодная оценка рисков и тестирование на проникновение.
- Сегментация сети и меры по обнаружению и предотвращению несанкционированной передачи данных.
- Разработка письменных процедур реагирования на инциденты и более четких правил хранения и безопасного уничтожения конфиденциальной информации .
Учитывая халатность, количество раскрытых данных и число пострадавших, считаете ли вы, что компаниям всё сошло с рук? Поделитесь своим мнением в комментариях.
Как оставаться в безопасности
Утечка информации не означает автоматически, что кто-то неправомерно использовал ваши данные, но вы можете принять следующие меры предосторожности, пока ожидаете более подробной информации:
- Проверяйте неожиданные сообщения самостоятельно. Не позволяйте сообщению об утечке данных подтолкнуть вас к переходу по ссылке, передаче конфиденциальной информации или совершению платежа. Самостоятельно посетите официальный сайт вашего медицинского учреждения или страховой компании или используйте контактные данные, которым вы уже доверяете.
- Внимательно изучите медицинские счета и страховые выписки. Найдите записи о приемах, анализах, рецептах или услугах, которые вы не получали. Федеральная торговая комиссия (FTC) выделяет незнакомые медицинские счета и неожиданные пункты в выписке «Разъяснение выплат», в которой объясняется, как ваша страховая компания обработала заявку, как признаки кражи медицинских данных. Сообщите о расхождениях своему лечащему врачу и страховой компании.
- Просмотрите свои кредитные отчеты. Ищите незнакомые счета или долги и оспаривайте ошибки. Бесплатные отчеты можно получить на сайте AnnualCreditReport.com .
- При обнаружении признаков кражи личных данных действуйте. Посетите сайт IdentityTheft.gov , чтобы ознакомиться с планом восстановления. Если кто-то получал медицинскую помощь на ваше имя, запросите у соответствующих поставщиков медицинских услуг копии ваших медицинских записей и подайте письменное заявление с просьбой внести исправления.
Кража медицинских данных — это не только финансовая проблема; она также может повлиять на ваше лечение. Кто-то, используя ваши личные данные для получения лечения или подачи страховых заявок, может внести неверную информацию в вашу медицинскую карту. Проверка медицинских выписок и сообщение о любых подозрительных действиях помогут выявить такое неправомерное использование.
Давайте будем честны, режим инкогнито имеет свои ограничения.
Взлом аккаунтов, торговля в даркнете, мошенничество с кредитными картами. Malwarebytes Identity Theft Protection отслеживает все это, быстро оповещает вас и включает страхование от кражи личных данных.
