Een zorgdienstverlener betaalt 300.000 dollar en voert beveiligingsmaatregelen door na een hack in 2023 waarbij gegevens van meer dan 13 miljoen patiënten werden gestolen.
Een bedrijf dat medische diensten levert, heeft een schikking getroffen met vier Amerikaanse staten na een datalek in maart 2023 waarbij gevoelige patiëntgegevens van meer dan 13 miljoen mensen werden blootgesteld. De betrokken staten Connecticut, New Jersey, New York en Michigan maakten vrijdag bekend dat het bedrijf 300.000 dollar betaalt en ingrijpende beveiligingsverbeteringen doorvoert.
De zaak richtte zich op de medische transcriptie-, coderings- en beeldvormingsdochterondernemingen van de in Nevada gevestigde Perry Johnson Companies. Volgens een persbericht van het kantoor van de procureur-generaal van New York moet het bedrijf bij het niet naleven van de afgesproken cybersecuritymaatregelen een extra boete van 9,7 miljoen dollar betalen aan de vier staten.
Onderzoek door het kantoor van procureur-generaal Letitia James toonde aan dat hackers toegang kregen tot de systemen van Perry Johnson door gebruik te maken van de inloggegevens van een medewerker. Het bedrijf maakte geen gebruik van multi-factor authenticatie om gebruikers te verifiëren. In de maanden na de hack verzamelden de aanvallers wachtwoorden en verkregen zij toegang tot niet-versleutelde bestanden met beschermde medische gegevens van patiënten.
Hoewel de software van het bedrijf de bewegingen van de hacker detecteerde en registreerde, was deze slecht geconfigureerd en werden de verdachte activiteiten niet gemeld aan het informatiebeveiligingsteam. De datadiefstal duurde twee maanden voort, waarbij het bedrijf pas op de hoogte werd gebracht toen de hackers zelf contact opnamen. De gestolen gegevens bevatten onder meer namen, geboortedata, adressen, sofinummers, ziekenhuisrekeningnummers, diagnoses, verzekeringsinformatie en klinische gegevens uit medische transcriptiebestanden, waaronder medicijnnamen en testresultaten.
De schikking verplicht Perry Johnson tot het opzetten van een uitgebreid informatiebeveiligingsprogramma en standaarden voor incidentrespons. Daarnaast moet het bedrijf multi-factor authenticatie, encryptie en wachtwoordbeheer implementeren, jaarlijkse risicoanalyses uitvoeren en een systeem opzetten voor het correct beheren van de verzameling, het gebruik, de opslag en de verwijdering van gezondheidsgegevens.
