Утечка данных Summit Pathology 2024

В уведомлении об инциденте Summit Pathology перечислен широкий набор типов данных. В затронутых системах могут находиться имена и фамилии, адреса, даты рождения, номера социального страхования, финансовая информация, сведения о медицинском страховании, информация о выставленных медицинских счетах и некоторые медицинские сведения. Медицинская информация может включать записи, связанные с патологоанатомическими услугами, в том числе сведения о диагнозах. Наличие демографических данных вместе с финансовой и страховой информацией в одном наборе файлов означает, что этот инцидент нельзя считать лишь утечкой контактных данных.

Такое сочетание данных создаёт риски на нескольких уровнях. Номера социального страхования и даты рождения долго сохраняют ценность для кражи личности, подачи кредитных заявок, налогового мошенничества и злоупотребления процедурами восстановления доступа к аккаунтам. Сведения о медицинском страховании и счетах могут использоваться для выставления поддельных счетов за медицинские услуги, страхового мошенничества и выдачи себя за владельца аккаунта пациента. Записи с диагнозами или сведениями о медицинских услугах могут нарушить конфиденциальность информации о здоровье человека и сделать адресные сообщения с приёмами социальной инженерии более убедительными. Поэтому пострадавшим необходимо следить не только за своими кредитными счетами, но и за операциями по медицинской страховке и счетами за медицинские услуги.

Подтверждённое время начала и обнаружения инцидента, примерно 18 апреля 2024 года. В уведомлении говорится, что после обнаружения подозрительной активности компания приняла меры для защиты своей сети, привлекла экспертов к расследованию и что постороннее лицо могло получить несанкционированный доступ к некоторым файлам или забрать их. Датой уведомления указано 18 октября 2024 года; это дата, когда об инциденте сообщили пользователям. В реестре утечек медицинских данных для Summit Pathology и Summit Pathology Laboratories, Inc. указаны 1 813 538 пострадавших в категориях «сетевой сервер» и «взлом/IT-инцидент».

В эту запись поля данных добавлены в соответствии с явным перечнем в письме-уведомлении. Финансовая информация и номер социального страхования включены, поскольку они прямо упомянуты в уведомлении. Напротив, пароль пользовательского аккаунта, номер карты, номер паспорта и сведения о системе электронных медицинских карт не добавлены в категории данных, так как в официальном уведомлении они прямо не перечислены. При составлении записи не предполагалось, что файлы действительно содержат одинаковый набор полей для каждого человека: из уведомления следует, что типы данных могут различаться в зависимости от конкретного лица.

Основную группу риска составляют пациенты, получающие патологоанатомические услуги от Summit Pathology, и люди, чьи сведения хранятся в лабораторных системах для оказания этих услуг. Компания сообщает, что оказывает патологоанатомические услуги медицинским учреждениям и специалистам и что инцидент мог затронуть получателя уведомления, если его врач или медицинская организация пользовались услугами Summit. Поэтому, даже если человек не помнит, чтобы обращался непосредственно в Summit, его записи могут входить в число затронутых инцидентом, если его врач или медицинское учреждение пользовались патологоанатомическими услугами Summit.

Поскольку данные пациентов особенно чувствительны, риск не ограничивается финансовым мошенничеством. Совместное использование сведений о диагнозах, счетах, страховке и личности позволяет подготовить поддельные лабораторные счета, звонки под предлогом проверки страховки, обращения от имени медицинских организаций или персонализированные фишинговые сообщения. Для людей, чьи номера социального страхования затронуты, риск сохраняется надолго; тем, чьи финансовые сведения или записи о счетах затронуты, также следует отслеживать операции по счетам и платежи за медицинские услуги.

Получателям уведомления прежде всего следует проверить по письму, какие типы их данных могли быть затронуты. Если затронут номер социального страхования или финансовая информация, приоритетными мерами являются блокировка доступа к кредитной истории, установка предупреждений о возможном мошенничестве и проверка кредитных отчётов. Если затронуты сведения о медицинском страховании и счетах, следует регулярно проверять страховые выписки, аккаунты пациентов и неожиданные счета за лабораторные услуги. При получении подозрительного сообщения, связанного с медицинскими услугами или диагнозом, нужно напрямую позвонить в медицинскую организацию, а не переходить по ссылке.

Людям, которым предоставлены услуги защиты от кражи личности, следует регистрироваться только по официальным инструкциям из уведомления. Для порталов пациентов, почтовых аккаунтов и платёжных систем, где используется один и тот же пароль, следует установить уникальные пароли, включить многофакторную аутентификацию и завершить старые сеансы. Поскольку могли утечь неизменяемые сведения, такие как номера социального страхования, однократной смены пароля недостаточно. Необходимо одновременно отслеживать активность, связанную с кредитами, налогами, страховкой и медицинским обслуживанием.

Инцидент Summit Pathology показывает, насколько масштабными могут стать риски для медицинских данных у сторонних организаций, когда лаборатории и поставщики патологоанатомических услуг обрабатывают чувствительные файлы от имени множества медицинских организаций. Пациент может не знать, какая лаборатория оказывает эти услуги, однако его данные могут оказаться в таких системах в ходе проведения исследований, диагностики или выставления счетов. Поэтому пациентам следует обращать внимание не только на портал своего врача, но и на уведомления от лабораторий и организаций, через которые им выставляют счета.

Для организаций долгосрочная стратегия заключается в ограничении прав доступа к файлам, отказе от хранения старых данных без необходимости, размещении данных о медицинских счетах в отдельно защищённых контурах и ведении журналов аудита, позволяющих на раннем этапе обнаруживать необычные перемещения файлов. Когда крупные наборы файлов содержат сведения о личности, здоровье и счетах, последствия инцидента многократно усиливаются. Поэтому после инцидента следует не только очищать системы, но и пересматривать политики хранения данных, сегментацию сети, обучение сотрудников и порядок уведомления третьих сторон.

Запись Summit Pathology 2024 на LeakData подготовлена, чтобы помочь пользователям понять фактический масштаб инцидента при проверке того, связаны ли они с этой крупной утечкой медицинских данных. В основу записи положены дата инцидента (18 апреля 2024 года, число пострадавших) 1 813 538, а также типы данных, прямо перечисленные в официальном уведомлении. В перечне категорий сохранены сведения о личности, адрес, дата рождения, номер социального страхования, финансовая информация, сведения о медицинском страховании, информация о счетах, медицинская информация и сведения о диагнозах.

Пользователям, столкнувшимся с последствиями этой утечки, следует регулярно проверять кредитные отчёты и выписки по медицинской страховке, обращать внимание на неожиданные счета за патологоанатомические услуги или лабораторные исследования и осторожно относиться к сообщениям от тех, кто выдаёт себя за медицинские учреждения или специалистов. При инцидентах, в которых персональные данные могли утечь вместе с медицинской информацией, риск сохраняется надолго. Поэтому запись проверена и отмечена как активная и содержащая чувствительные данные; действия пользователей не должны ограничиваться одной лишь сменой пароля.