Planned Parenthood’s Los Angeles (PPLA) divisi telah diretas, dengan penyerang siber yang mencuri informasi kesehatan pribadi yang sensitif untuk setidaknya 400.000 pasien.
Dalam pemberitahuan pelanggaran data (PDF) yang diajukan ke negara bagian California, organisasi tersebut mengatakan bahwa mereka telah mendeteksi intrusi pada 17 Oktober, ketika membuat sistemnya offline. Penyelidikan selanjutnya menentukan bahwa penyusup memiliki akses ke jaringan mulai 9 Oktober. Selama waktu itu, mereka mengekstrak file yang berisi alamat, informasi asuransi, tanggal lahir dan, yang paling mengkhawatirkan, informasi klinis, seperti diagnosis, prosedur dan/atau informasi resep.
Data klinis sangat sensitif: Planned Parenthood menawarkan berbagai layanan kesehatan seksual, termasuk pemeriksaan kesehatan wanita tahunan, pengendalian kelahiran, skrining kanker serviks dan testis, perawatan prenatal, pendidikan seksual, vasektomi, dan aborsi.
Juru bicara Planned Parenthood John Erickson mengatakan kepada Washington Post bahwa penyerang juga menginstal ransomware, tetapi dia tidak memberikan informasi tentang apakah upaya itu berhasil dalam mengenkripsi file atau jika organisasi membayar uang tebusan. Threatpost telah menghubungi PPLA untuk klarifikasi.
Bermotivasi Politik?
Mendekati argumen lisan yang disampaikan dalam kasus Mahkamah Agung yang pasti tentang hak aborsi, pelanggaran tersebut memiliki waktu yang ironis, mengingat status Keluarga Berencana sebagai penjahat favorit di antara para pendukung anti-aborsi.
“Ini adalah berita yang menghancurkan pada saat ketegangan politik berkecamuk ketika Mahkamah Agung secara aktif memperdebatkan tantangan langsung terhadap Roe v. Wade tahun 1973,” Jane Grafton, wakil presiden Gurucul, mengatakan melalui email. “Prosedur dan diagnosis pribadi wanita hanya itu: pribadi. Memiliki mereka dicuri untuk eksposur potensial menempatkan perempuan di rambut salib politik. Mengamankan catatan medis tidak pernah lebih penting. Kami hanya bisa berharap agar informasi ini tidak diketahui publik.”
Meskipun tidak jelas apakah insiden ini bermotif politik, grup ini telah menjadi sasaran serangan “hacktivist” sebelumnya, termasuk insiden pada 2015 yang menghasilkan data ratusan tentang karyawan yang didoxing secara online.
“Planned Parenthood adalah penyedia layanan kesehatan wanita paling tepercaya di negara ini, dan ekstremis antiaborsi bersedia melakukan apa saja untuk menghentikan wanita mengakses layanan kesehatan reproduksi yang mereka cari,” Dawn Laguens, wakil presiden eksekutif Planned Parenthood, mengatakan pada time.
Awal tahun ini, cabang Metropolitan Washington kelompok itu mengungkapkan pelanggaran tahun 2020 yang membuat pencuri data mencuri tanggal lahir pasien dan donor, data medis, dan Jaminan Sosial dan informasi keuangan.
Patients: Waspadalah Tindak Lanjut Attacks
Jika data telah dicuri sebagai bagian dari upaya pemerasan ganda – di mana penyerang mengancam akan membocorkan data secara publik kecuali tebusan dibayarkan – yang membawa satu set masalah keamanan. Namun, kekayaan data yang dipermasalahkan cocok untuk serangan lanjutan, catat para peneliti. Dan konsekuensi untuk pasien PPLA bisa sangat luas.
“PII/PHI yang telah dicuri dari Planned Parenthood melampaui keinginan aktor ancaman biasa untuk data identitas untuk dijual kembali di Dark Web,” kata Garret Grajek, CEO di YouAttest. “Mengingat bahwa tidak hanya informasi identitas standar yang dicuri, tetapi pencurian itu digabungkan dengan latar belakang medis dan data prosedur, konsekuensi dari penggunaan berbahaya dari data ini mudah dibayangkan… peretasan sebelumnya pada institusi medis telah menunjukkan kecenderungan baik sosial dan teknis. metode peretasan.”
Misalnya, penipu dapat melakukan upaya rekayasa sosial yang meyakinkan seperti email phishing pengambilan kartu pembayaran yang meminta pasien untuk “mengkonfirmasi informasi penagihan mereka.” Pencurian identitas dan penipuan asuransi juga menjadi perhatian; dan selalu ada kemungkinan pemerasan dan pemerasan pasien atau hanya pelecehan dasar, termasuk ancaman fisik.
“Pasien didorong untuk meninjau pernyataan dari penyedia layanan kesehatan atau asuransi kesehatan mereka dan segera menghubungi mereka jika mereka melihat biaya untuk layanan yang tidak mereka terima,” cabang mengatakan dalam pernyataan.
Fallout for Planned Parenthood
Sementara itu, PPLA sendiri dapat menemukan dirinya dalam masalah, memperingatkan Josh Brewton, vCISO di Cyvatar, dimulai dengan kerusakan merek reputasi.
“Jika organisasi tidak dapat mengamankan datanya yang paling berharga (informasi pasien), bagaimana individu dapat mempercayai layanan medis yang diterima akan disimpan di antara mereka dan para profesional medis? katanya melalui email. “Inilah tepatnya mengapa fasilitas medis memiliki standar keamanan informasi (HIPAA) yang tinggi.”
Jika PPLA terbukti lalai dalam penerapan aturan keamanan dan privasi HIPAA yang disyaratkan, PPLA dapat dikenakan tuntutan perdata dan pidana. biaya, tambahnya.
Selanjutnya, “hanya karena sebuah organisasi mematuhi hukum/standar wajib sektor mereka (HIPAA/NIST/CMMC/dll.) tidak berarti bahwa mereka aman,” katanya. “Memiliki orang, proses, dan teknologi yang tepat saat menggunakan kerangka kerja ini akan memastikan bahwa Anda telah melakukan uji tuntas Anda dalam menyediakan tempat yang aman untuk bisnis, klien, dan informasi sensitif lainnya.” Buku pedoman respons insiden
adalah salah satu cara untuk melakukannya , menurut Kev Breen, direktur penelitian ancaman siber di Immersive Labs.
“Tidak mungkin mencegah penyerang yang gigih, jadi tim keamanan harus menganggap pelanggaran dapat terjadi kapan saja,” katanya melalui email. “Inilah sebabnya mengapa memiliki buku pedoman respons insiden sangat penting. Buku pedoman ini seharusnya tidak hanya fokus pada tim keamanan saja, tetapi pada semua pemangku kepentingan di seluruh organisasi mulai dari tim hukum hingga pemasaran. Rencana ini tidak boleh disimpan di rak berdebu sampai Anda membutuhkannya – rencana ini harus dipraktikkan dan diperbarui secara konsisten.”
Gary Ogasawara, CTO di Cloudian, juga mencatat bahwa pertahanan perimeter tidak cukup.
“Khususnya jika menyangkut data sensitif, mengenkripsi data baik dalam penerbangan maupun saat istirahat sangat penting untuk mencegah penjahat dunia maya membacanya atau mempublikasikannya dalam bentuk apa pun yang dapat dipahami, ”katanya kepada Threatpost. “Selain itu, dan yang paling penting, organisasi harus memiliki salinan cadangan data mereka yang tidak dapat diubah (tidak dapat diubah) yang mencegah penjahat tersebut mengubah atau menghapus data itu dan memastikan kemampuan untuk memulihkan salinan cadangan yang tidak terinfeksi jika terjadi serangan, tanpa membayar. tebusan.”
Dalam keadaan apa pun, organisasi seperti Planned Parenthood harus lebih rajin daripada kebanyakan, Brewton dari Cyvatar menyimpulkan.
“Planned Parenthood adalah institusi yang memicu banyak emosi di setiap sisi lorong. Dengan emosi ini datanglah investasi pribadi dan politik. Investasi dari semua sisi ini melukiskan target raksasa di belakang organisasi, ”katanya.
Ada lautan data tidak terstruktur di internet yang berkaitan dengan ancaman keamanan terbaru. DAFTAR HARI INI untuk mempelajari konsep kunci pemrosesan bahasa alami (NLP) dan cara menggunakannya untuk menavigasi lautan data dan menambahkan konteks ke ancaman keamanan siber (tanpa menjadi ahli!). Balai Kota Threatpost interaktif LANGSUNG ini, disponsori oleh Rapid 7, akan menampilkan peneliti keamanan Erick Galinkin dari Rapid7 dan Izzy Lazerson dari IntSights (perusahaan Rapid7), ditambah jurnalis Threatpost dan pembawa acara webinar, Becky Bracken.
Daftar SEKARANG untuk acara LANGSUNG!
Write a comment
Bagikan artikel ini:
- iPrivacy