Утечка данных DC Health Link в 2023 году

Состав данных в записи DC Health Link значительно шире, чем в обычной записи об аккаунте. Имя, адрес электронной почты, номер телефона и физический адрес позволяют напрямую связаться с человеком. Дата рождения и номер социального страхования играют важнейшую роль при проверке личности и подаче заявок на финансовые услуги. Сведения о гражданстве, этническая принадлежность, пол, работодатель и информация о приобретении медицинской страховки и страховом плане раскрывают чувствительные подробности о частной жизни человека, его трудовых отношениях и предпочтениях в медицинском страховании. Такое сочетание данных представляет большую ценность для кражи личности, целевого мошенничества, подачи ложных заявлений на страховое возмещение и персонализированных попыток социальной инженерии.

Если номер социального страхования и дата рождения доступны вместе, риск сохраняется надолго: эти данные нельзя легко изменить, как пароль. Сведения о телефоне и адресе упрощают злоумышленникам контакт с пользователем через звонки, текстовые сообщения, почту или поддельные уведомления от организаций. Информация о работодателе, приобретении страховки и страховом плане позволяет убедительнее выдавать себя за представителя организации, связанной с медицинским страхованием человека. Сведения о гражданстве и этнической принадлежности также чувствительны с точки зрения неприкосновенности частной жизни. Поэтому наличие записи, это не только вопрос безопасности аккаунтов: его следует оценивать и с точки зрения незаконного использования персональных данных, финансового мошенничества и личной безопасности.

Число 48 145 в этой записи отражает количество подтверждённых уникальных адресов электронной почты. В официальных уведомлениях DC Health Link указано, что затронуты 56 415 клиентов. Эти числа не обязательно противоречат друг другу: первое отражает охват по адресам электронной почты, который можно подтвердить в наборе утекших данных, а второе, охват уведомлений и последствий для клиентов. У отдельного человека может не быть адреса электронной почты, некоторые записи могут вестись через члена семьи или иждивенца, а в охват уведомлений могут входить люди, которых нельзя сопоставить с адресом электронной почты. Поэтому число, показанное пользователю, отражает лишь узкий охват проверки.

Инцидент относится к марту 2023 года и стал известен общественности после публикации данных на интернет-форуме. По результатам расследований сообщалось, что несанкционированный доступ был связан с настройками системы и человеческой ошибкой. Однако эта страница посвящена прежде всего рискам для пользователей, а не техническим подробностям атаки. Необходимо чётко разграничивать подтверждённые и неподтверждённые поля: наличие сведений о гражданстве, дат рождения, адресов электронной почты, сведений о работодателях, этнической принадлежности, пола, имён, номеров телефонов, физических адресов, сведений о приобретении страховки и страховом плане, а также номеров социального страхования подтверждено. Наличие поля с паролем в этой записи не подтверждено.

Наибольшему риску подвержены пользователи, подавшие через DC Health Link заявку на индивидуальное или семейное медицинское страхование, нынешние и бывшие клиенты, члены семей, иждивенцы и сотрудники, застрахованные через эту биржу. Поскольку DC Health Link также связан с членами Конгресса, их сотрудниками и семьями, некоторые записи могут затрагивать известных государственных деятелей или их родственников. Это повышает риск целевой социальной инженерии. Злоумышленники могут выдавать себя за представителей государственных органов или медицинских страховых организаций, используя настоящие имена, адреса, сведения о работодателях, даты рождения и информацию о страховании.

Риск кражи личности может затрагивать не только самого владельца аккаунта, но и членов его семьи и иждивенцев. В заявках на медицинское страхование могли храниться сведения о детях, супругах или других членах семьи. Поскольку такие данные, как номер социального страхования, сведения о гражданстве и дата рождения, долго остаются неизменными, риск может сохраняться годами. Если при регистрации использовалась электронная почта компании или государственного учреждения, злоумышленники могут использовать сведения о работодателе для подготовки более убедительных уведомлений. Поэтому наличие записи следует оценивать как с точки зрения личной, так и корпоративной безопасности.

Первый шаг для пользователей, чьи данные совпали с записью DC Health Link, снизить риск незаконного использования персональных данных. Следует отслеживать кредитные отчёты и открытие новых счетов, а при возможности рассмотреть замораживание доступа к кредитной истории или установку предупреждения о возможном мошенничестве. Необходимо отслеживать попытки подачи поддельных заявок или проведения финансовых операций с использованием номера социального страхования, даты рождения и адреса. Пользователям следует особенно осторожно относиться к неожиданным сообщениям о медицинском страховании, налогах, кредитах, государственных услугах или проверке личности. Вместо перехода по ссылкам из сообщения нужно использовать известные каналы связи соответствующей организации.

Второй шаг, обеспечить безопасность связи и аккаунтов. Почтовый аккаунт следует защитить надёжным уникальным паролем, включить многофакторную аутентификацию и проверить, нет ли неизвестных сеансов и правил пересылки писем. Не следует сообщать сведения звонящим, которые запрашивают код подтверждения, номер социального страхования, информацию о медицинской страховке или дополнительные данные для удостоверения личности. Запросы от имени DC Health Link или медицинской страховой организации нужно проверять напрямую через известный канал связи, не используя ссылку из сообщения. Поскольку записи могут вестись от имени членов семьи и иждивенцев, такие же проверки следует обсудить с домочадцами.

Этот инцидент показывает, что персональные данные и сведения из заявок, хранящиеся на биржах медицинского страхования, создают долгосрочные риски. Пользователям следует регулярно отслеживать кредитную историю, проверять открытие счетов, контролировать подачу налоговых заявлений и следить за перепиской по медицинскому страхованию. Поскольку номер социального страхования невозможно или очень трудно изменить, одной лишь смены паролей вскоре после инцидента недостаточно, чтобы устранить риск. Пользователям следует выработать более строгие привычки проверки запросов, которые поступают по электронной почте и телефону и выглядят официальными. При обнаружении признаков кражи личности необходимо быстро связаться с соответствующими организациями.

Для организаций вывод состоит в том, что данные о медицинском страховании и государственных услугах требуют самого высокого уровня защиты как особо чувствительные сведения. Необходимо регулярно проверять меры контроля доступа, настройки облачных сред, разрешения на создание отчётов, процессы экспорта данных и хранение старых отчётов. Доступ к таким полям, как гражданство, этническое происхождение, номер социального страхования и план медицинского страхования, не следует без необходимости предоставлять широкому кругу лиц. При реагировании на инцидент важно не только отключить систему, но и дать затронутым людям понятные рекомендации по защите персональных данных, мониторингу кредитной истории и использованию безопасных каналов связи.

Если результат проверки на этой странице указывает на совпадение с записью DC Health Link, вам следует считать этот результат высокоточным. Прежде всего необходимо отслеживать признаки кражи личности и финансовых злоупотреблений. Следует защитить почтовые аккаунты, аккаунты медицинского страхования и аккаунты коммунальных служб, а также проверить, нет ли неизвестных сеансов, правил пересылки и способов восстановления доступа. Прежде чем переходить по каким-либо ссылкам в неожиданном сообщении от имени DC Health Link или медицинской страховой организации, нужно напрямую проверить его подлинность.

Хотя утечка DC Health Link произошла в прошлом, номер социального страхования, дата рождения, адрес, сведения о гражданстве и информация о медицинском страховании создают долгосрочные риски. Эту запись не следует воспринимать лишь как уведомление о давнем инциденте. Вам следует продолжать отслеживать кредитную историю и признаки незаконного использования персональных данных, сообщить членам семьи о возможных рисках и тщательнее проверять неожиданные обращения, связанные с медицинским страхованием или государственными услугами. Такой подход снижает риск длительного неправомерного использования чувствительных данных.