Több tízezer embert érintő adatszivárgásról adott hírt az Egyesült Államok legnagyobb nonprofit egészségügyi szolgáltatója, a Kaiser Permanente, írja a TechCrunch. Az érintetteket június 3-án, bő két hónappal az eset után tájékoztatta csak a szolgáltató, a károsultak számát pedig nem is a vállalat, hanem az egészségügyi minisztérium hozta nyilvánosságra. Ebből kiderül, hogy mintegy 70 ezer páciens lehet érintett.
A nonprofit vállalat tájékoztatásából kiderült, hogy április 5-én szerezhettek hozzáférést a Kaiser Foundation Health Plan of Washington egyik alkalmazottjának e-mailjeihez, amelyek védett egészségügyi információkat tartalmaztak. Többek között a betegek nevéhez, a szolgáltatás dátumához, az orvosi nyilvántartás számához és a laboratóriumi vizsgálatok eredményeihez is hozzáférhettek az illetéktelen behatolók.
„A jogosulatlan hozzáférést a kezdete után néhány órával megszüntettük, és azonnal vizsgálatot indítottunk az incidens terjedelmének megállapítására” – írta a Kaiser Permanente. A vizsgálat során megállapították, hogy az e-mailek védett egészségügyi információkat tartalmaztak, és bár nem volt utaló jel, hogy az információkhoz illetéktelen felek is hozzáfértek, ennek lehetőségét nem tudják teljesen kizárni.
Az egészségügyi szolgáltató nem részletezte, milyen módon szerezhettek hozzáférést a behatolók, közleményükben mindössze annyit írtak, hogy az érintett alkalmazott „további képzésben részesült a biztonságos e-mail-használatról”. Ez arra utal, hogy a jogsértés adathalászat, vagy az úgynevezett „credentials stuffing” módszer által történhetett meg. Ez utóbbi lényege, hogy a támadók más szolgáltatások feltört adatbázisaiban található belépési adatokat próbálgatnak végig, ha pedig valaki egy jelszót több helyen is használ, máris bejuthatnak a rendszerbe.
A Kaiser Permanente nem az első amerikai egészségügyi intézmény, amely adathalászok célpontjává vált. Az Anthem egészségbiztosítási vállalattól 2015-ben mintegy 78,8 millió adatot loptak el. Emellett a közelmúltban érte támadás a myNurse elnevezésű, távoli betegmegfigyeléssel foglalkozó egészségügyi startupot is. A márciusi támadás során olyan adatokhoz is hozzáférhettek, mint a betegek demográfiai, egészségügyi és pénzügyi adatai.
