MMG Fusion: утечка данных 2020 года

В этом инциденте подтверждено раскрытие следующих категорий данных: записи на приём, даты рождения, адреса электронной почты, пол, семейное положение, имена, пароли, номера телефонов и почтовые адреса. Сведения о записи на приём могут раскрывать чувствительную информацию о том, когда и в какой клинике человек получал медицинскую помощь. Когда адрес электронной почты, номер телефона и почтовый адрес присутствуют вместе, мошеннические сообщения под видом уведомлений от клиники, подтверждений записи, напоминаний об оплате или обновлении документов могут выглядеть убедительнее. Такие поля, как дата рождения и семейное положение, создают дополнительные риски при использовании контрольных вопросов для проверки личности или попытках сопоставления профилей.

Сообщалось, что в небольшом числе записей поле пароля содержит хеши bcrypt. Это не означает, что пароли были раскрыты в открытом виде, однако риск для слабых или повторно используемых паролей сохраняется. Если пользователь использовал один и тот же пароль для электронной почты, портала пациента, социальных сетей или других аккаунтов в медицинских сервисах, старая утечка может повлиять на безопасность действующих аккаунтов. Учитывая наличие сведений о медицинских приёмах, злоумышленники могут не ограничиваться попытками входа в аккаунты: используя реальные контактные данные, они могут создавать сообщения якобы от службы поддержки пациентов, центра записи на приём или страхового подразделения.

Подтверждённой датой инцидента считается 20 декабря 2020 года, а датой добавления записи и изменения источника: 7 августа 2021 года. Число уникальных адресов электронной почты составляет 2 660 295. Перечень категорий данных ограничивается сведениями о записи на приём, датами рождения, адресами электронной почты, полом, семейным положением, именами, хешами паролей bcrypt, номерами телефонов и почтовыми адресами. Для этой записи номера социального страхования, данные платёжных карт и банковских счетов, подробные диагнозы, рецепты, результаты лабораторных исследований и полные медицинские карты не входят в число подтверждённых категорий данных.

Важно правильно понимать границы утечки. Совпадение не означает, что была раскрыта вся медицинская история пользователя. Однако само по себе сочетание сведений о приёмах и контактных данных представляет достаточно серьёзную угрозу конфиденциальности медицинской информации. Компания оказывает услуги по управлению стоматологической практикой, поэтому эту запись следует относить к системе записи на стоматологические приёмы и связи с пациентами, а не к технологическому сайту общего назначения. О риске, связанном с паролями, также сообщалось лишь для небольшой группы записей. Тем не менее рекомендуется принять меры безопасности, поскольку эти пароли могли использоваться и в других аккаунтах.

К группе наибольшего риска относятся пациенты, которые пользуются MMG Fusion и получают стоматологические или другие клинические услуги, люди, чьи сведения о записи на приём присутствуют в данных, а также пользователи, использующие один и тот же адрес электронной почты для аккаунтов в медицинских сервисах. Пользователи, у которых раскрыты имя, номер телефона, адрес и дата рождения, могут стать целью поддельных сообщений о записи на приём, задолженности перед клиникой или страховании. Такие поля, как пол и семейное положение, могут сделать персонализированные сообщения убедительнее. Эти сведения нельзя изменить так же быстро, как данные платёжной карты, поэтому последствия для конфиденциальности могут быть долгосрочными.

Сотрудникам стоматологических клиник, пациентам, которые часто общаются с центром записи на приём, и людям, использующим один и тот же адрес электронной почты для записи членов семьи, также следует соблюдать осторожность. Злоумышленники могут звонить человеку, опираясь на его реальные номер телефона и адрес, и просить подтвердить запись, заполнить документы или выполнить указания по оплате. Для людей, чьи данные входят в небольшую группу записей с хешами паролей, существует дополнительный риск: если тот же пароль используется в других сервисах, безопасность аккаунтов может пострадать. Поэтому при обнаружении совпадения следует учитывать одновременно риск мошенничества через сообщения и звонки и риск повторного использования паролей.

Если вы обнаружили совпадение в этой записи, прежде всего с осторожностью относитесь к неожиданным электронным письмам, SMS и звонкам, связанным с приёмами и клиниками. Даже если сообщение содержит настоящее имя, номер телефона, адрес или сведения о приёме, это не делает его достоверным. Подтверждения записи, уведомления об оплате, обновлении документов или заполнении анкет пациента, содержащие ссылки, следует проверять напрямую по известному вам адресу клиники или сервиса. Если запрос поступает по телефону, не сообщайте дату рождения, код подтверждения, данные карты или пароль.

Для аккаунтов с входом по паролю следует выбирать уникальные пароли. Если вы использовали пароль от аккаунта, связанного с MMG Fusion, в других сервисах, начните со смены паролей электронной почты и критически важных аккаунтов. Включите многофакторную аутентификацию в сервисах, которые её поддерживают, завершите активные сеансы и проверьте адрес электронной почты и номер телефона для восстановления доступа. Особое внимание следует уделить защите почтового аккаунта, поскольку именно на него часто приходят уведомления о медицинских приёмах и сообщения для восстановления доступа к аккаунтам.

При утечках сведений о медицинских приёмах и контактных данных долгосрочный риск заключается в том, что эти сведения могут использоваться в мошеннических сообщениях даже спустя годы. Пользователям следует применять уникальные пароли для аккаунтов в медицинских сервисах, интернет-магазинах, социальных сетях и электронной почте, а номер телефона и адрес сообщать только необходимым сервисам. На порталах пациентов и в каналах связи с клиниками следует отдавать предпочтение многофакторной аутентификации, а старые аккаунты для записи на приём, периодически проверять. В неиспользуемых аккаунтах следует свести к минимуму объём персональных данных и сохранённой контактной информации.

Для организаций этот инцидент показывает важность учёта данных, контроля доступа и качества хранения паролей в системах записи на стоматологические и другие медицинские приёмы. Записи о приёмах, это не просто календарные сведения: в сочетании с данными, идентифицирующими пациента, каналами связи и медицинским контекстом они приобретают чувствительный характер. Для пользователей долгосрочная защита означает надёжную защиту почтового аккаунта, осторожность в отношении телефонного мошенничества, проверку сообщений от клиник через отдельный канал и полный отказ от повторного использования паролей.

Совпадение в этой записи означает, что адрес электронной почты входит в число подтверждённых адресов в наборе данных MMG Fusion. Оно не доказывает, что в этом наборе присутствуют номер социального страхования, данные платёжной карты, полная медицинская карта или подробные сведения о диагнозе. Подтверждённые поля включают сведения о записи на приём, дату рождения, адрес электронной почты, пол, семейное положение, имя, номер телефона, почтовый адрес и хеши паролей bcrypt для небольшой группы записей. Пользователю следует правильно понимать это ограничение и уделить внимание как рискам, связанным с общением по медицинским вопросам, так и повторному использованию паролей.

Первый шаг, определить, в каких аккаунтах используются тот же адрес электронной почты и пароли, построенные по похожим шаблонам. Затем следует установить уникальные пароли для почтового аккаунта, порталов пациентов, аккаунтов в медицинских сервисах и социальных сетях, включить многофакторную аутентификацию и проверить активные сеансы. Ссылки в сообщениях о записи на приём, клиниках, страховании или оплате следует проверять через отдельный канал. Эта запись без преувеличений описывает подтверждённые поля данных и предлагает пользователю конкретные меры по обеспечению конфиденциальности медицинской информации и безопасности общения, а также по управлению паролями.