Door gestolen inloggegevens van een medewerker kregen aanvallers toegang tot medische data van 13,3 miljoen Amerikaanse patiënten.
Een groot datalek in de Verenigde Staten heeft geleid tot het stelen van persoonlijke en medische gegevens van 13,3 miljoen patiënten. De oorzaak was het misbruik van gestolen inloggegevens van een medewerker van IT-dienstverlener PJ&A, die diverse diensten aan zorginstellingen leverde, waaronder facturatie, medische transcripties en administratie.
Begin 2023 wisten aanvallers via de remote desktop webapplicatie van PJ&A in te loggen met de gebruikersnaam en het wachtwoord van een medewerker. Het bedrijf vereiste geen multifactorauthenticatie, waardoor de toegang werd vergemakkelijkt. Na de initiële toegang verkenden de aanvallers het netwerk en breidden hun toegang uit naar andere systemen met patiëntgegevens, waaronder uitslagen, medicijngebruik en behandelplannen. Onder andere een niet-versleutelde databaseback-up en andere bestanden met gevoelige informatie werden buitgemaakt.
Hoewel PJ&A beschikte over een monitoringsysteem dat de aanval snel detecteerde, was dit verkeerd geconfigureerd en stuurde het geen waarschuwingen naar het securityteam. Een eerder verzoek om dit systeem correct in te stellen werd niet uitgevoerd. De aanval werd pas twee maanden later ontdekt, nadat de aanvallers losgeld eisten voor het verwijderen van de gestolen data. Hoe de inloggegevens waren verkregen is onbekend. Of het losgeld is betaald, is niet duidelijk.
Verschillende Amerikaanse staten startten een onderzoek naar PJ&A vanwege onvoldoende bescherming van patiëntgegevens. De inmiddels failliete IT-dienstverlener en aanverwante bedrijven zijn een schikking overeengekomen waarbij zij 300.000 dollar betalen en beveiligingsmaatregelen moeten implementeren. Bij niet-naleving volgt een aanvullende boete van 9,7 miljoen dollar. Deze zaak benadrukt het belang van adequate toegangsbeveiliging en monitoring binnen de zorgsector, zeker bij het beheer van gevoelige medische data.
