Dane medyczne 645 tys. ludzi zagrożone po ataku phishingowym
10 lipca 2019
Departament Usług Społecznych stanu Oregon rozpoczął akcję powiadamiania 600 tysięcy osób, informując ich o fakcie narażenia ich danych osobowych po tym jak pracownicy administracji, zostali wykorzystani przez hakerów i udzielili dostępu do milionów e-maili.
Według agencji naruszenie protokołów bezpieczeństwa miało miejsce 8 stycznia 2019 r., kiedy dziewięcioro pracowników kliknęło w łącze w e-mailu, który miał imitować oficjalną korespondencję rządową.
Celowana wiadomość e-mail, wykorzystana jako atak phishingowy, pozwoliła hakerom nakłonić pracowników do podania ich haseł, tym samym przestępcy otrzymali dane do logowania, które w zamyśle miały być doskonale chronione.
W dniu 28 stycznia Departament Usług Społecznych oraz Biuro Bezpieczeństwa Korporacyjnego Departamentu Usług Administracyjnych odkryły naruszenie protokołów bezpieczeństwa po tym jak pracownicy stwierdzili dostęp z zewnątrz do swoich skrzynek mailowych i potwierdzili, że hakerzy mogli mieć dostęp do około dwóch milionów wiadomości e-mail.
Informacje w e-mailach, do których przestępcy uzyskali dostęp, obejmowały wrażliwe dane o stanie zdrowia, nazwiska, daty urodzin, numery ubezpieczenia społecznego, adresy, numery spraw i wiele innych informacji.
Większość informacji o klientach, które stały się celem ataku, miały postać załączników do wiadomości, na przykład raportów. Osobiste dane obejmowały informacje o stanie zdrowia (PHI) chronione zapisami Ustawy o przenoszeniu i odpowiedzialności za ubezpieczenia zdrowotne (HIPAA). Nie wszystkie takie informacje zostały ujawnione w przypadku każdej osoby.
Departament Usług Społecznych stanu Oregon, który zarządza dużą liczbą programów — włączając w to programy związane z pomocą społeczną dzieciom, samowystarczalnością beneficjentów, pomocą seniorom oraz ludziom z niepełnosprawnościami — twierdzi, że niezwłocznie przeprowadził resetowanie haseł personelu, aby uniemożliwić hakerom dalszy dostęp. Zawiadomiono także policję stanową stanu Oregon.
Niemniej jednak minął dość długi czas zanim osoby poszkodowane zostały poinformowane o tym, że ich dane osobowe mogły wpaść w ręce hakerów.
W dziale Często zadawane pytania Departament Usług Społecznych stanu Oregon wyjaśnia dlaczego jego dochodzenie trwało tak długo:
„W przypadku takiego zdarzenia potrzeba czasu, aby przeprowadzić dochodzenie, czy taki incydent miał miejsce, zgromadzić stosowne informacje, zidentyfikować poszkodowanych i podjąć odpowiednie decyzje, aby przygotować rozwiązania dla wszystkich tych, którzy zostaną rozpoznani jako poszkodowani. Mimo iż dostęp do skrzynek e-mail został zablokowany, wiele czasu zajęła dokładna weryfikacja niemal dwóch milionów wiadomości e-mail i określenie liczby maili, które mogły zawierać dane osobowe klientów korzystających z usług Departamentu Usług Społecznych”.
Robert Oakes, rzecznik Departamentu Usług Społecznych, opisał naruszenie protokołów bezpieczeństwa „wyjątkowo wyrafinowanym atakiem e-mailowym”.
Zapewne władze Departamentu Usług Społecznych stanu Oregon posiadają większą wiedzę o tym, do czego doszło, niemniej jednak uwzględniając to, co zaszło, informacje o tym ataku nie przywodzą na myśl niczego wyrafinowanego.
Celowane ataki phishingowe są powszechne, a wykorzystywane są w nich wiadomości e-mail, które są skrupulatnie przygotowywane przez cyberprzestępców tak, aby wyglądały na istotne dla członków personelu. Częstym zabiegiem jest ukrywanie prawdziwego źródła pochodzenia, aby sprawiały wrażenie, że ich źródło nie jest podejrzane.
Mimo iż trudno zapobiegać wszystkim atakom phishingowym, organizacje mogą ograniczać ryzyko pomyślności takiego ataku na wiele sposobów — na przykład poprzez wprowadzenie zasady oznaczania e-maili pochodzących spoza organizacji, uruchomienie menedżera haseł, który uniemożliwia wprowadzanie haseł na nieautoryzowanych witrynach oraz wieloetapową autoryzację.
Departament Usług Społecznych stanu Oregon oferuje ochronę przed kradzieżą tożsamości wszystkim poszkodowanym.
Autor
Obecnie
Najnowsze wpisy
