Esse Health Məlumat Sızmasına Görə 2.53 Milyon Dollar Ödəyəcək

Hadisənin Xülasəsi

Sent-Luisdə yerləşən tanınmış səhiyyə təminatçısı olan Esse Health, 2022-ci ilin avqust ayında təxminən 227,341 xəstənin şəxsi və sağlamlıq məlumatlarını ifşa edən böyük bir məlumat sızmasından sonra açılan kütləvi iddiaya son qoymaq üçün 2,53 milyon dollarlıq bir razılaşma imzaladı. Bu razılaşma, şirkətin hər hansı bir səhvini etiraf etməməsi, lakin uzun və bahalı bir hüquqi mübarizədən yayınmaq üçün atdığı bir addım kimi qiymətləndirilir. Məlumat sızması, bir işçinin e-poçt hesabına edilən uğurlu bir fişinq (phishing) hücumu nəticəsində baş vermiş və kiberhücumçuların həssas xəstə məlumatlarına daxil olmasına imkan yaratmışdır.

Hadisənin aşkarlanması 29 avqust 2022-ci ildə baş verdi. Esse Health, bir işçisinin e-poçt hesabında şübhəli fəaliyyətlər aşkar etdikdə dərhal təhqiqata başladı. Aparılan araşdırmalar, icazəsiz bir üçüncü tərəfin, fişinq üsulu ilə işçinin giriş məlumatlarını ələ keçirdiyini və bu yolla e-poçt hesabına sızdığını ortaya qoydu. Bu giriş, təcavüzkarların hesab daxilində olan və çox sayda xəstəyə aid Qorunan Sağlamlıq Məlumatlarını (PHI) ehtiva edən e-poçtlara və əlavələrə çatmasına səbəb oldu. Esse Health, hadisədən sonra təsirlənmiş şəxsləri məlumatlandırmaq və hüquqi prosesləri idarə etmək məsuliyyəti ilə üzləşdi. Bu razılaşma, həm zərərçəkənlərə müəyyən bir təzminat təklif etməyi, həm də şirkətin gələcək kiber təhlükəsizlik tədbirlərini gücləndirmə öhdəliyini ehtiva edir.

Sızdırılan Məlumatlar və Miqyası

Məlumat sızmasının miqyası olduqca genişdir və həssas məlumatları əhatə edir. Esse Health tərəfindən verilən açıqlamaya görə, təcavüzkarların əldə etdiyi məlumatlar arasında xəstələrin sadə demoqrafik məlumatlarından daha çoxu var. İfşa olunan məlumatlara aşağıdakılar daxildir:

• Şəxsi İdentifikasiya Məlumatları: Adlar, soyadlar və doğum tarixləri kimi əsas kimlik məlumatları.
• Sağlamlıq Sığortası Məlumatları: Siyasət nömrələri və sığorta şirkətinin detalları.
• Tibbi Qeyd Məlumatları: Tibbi qeyd nömrələri, xəstə hesab nömrələri.
• Klinik Məlumatlar: Diaqnozlar, müalicə məlumatları, laboratoriya nəticələri, reseptli dərmanlar kimi son dərəcə xüsusi və həssas sağlamlıq məlumatları.
• Maliyyə Məlumatları: Təsirə məruz qalan xəstələrin kiçik bir hissəsi üçün Sosial Təminat Nömrələri (SSN) və maliyyə hesab məlumatları da sızdırılan məlumatlar arasındadır.

Bu cür məlumatların bir yerdə sızdırılması zərərçəkənlər üçün ciddi risklər yaradır. Şəxsiyyət oğurluğu, tibbi şəxsiyyət oğurluğu (başqalarının sizin məlumatlarınızla səhiyyə xidməti alması), sığorta fırıldaqçılığı və hədəfli fişinq hücumları bu risklərdən yalnız bir neçəsidir. Xüsusilə diaqnoz və müalicə kimi məlumatların pis niyyətli şəxslərin əlinə keçməsi, şantaj kimi daha ciddi cinayətlər üçün də istifadə edilə bilər. Şirkət, ümumilikdə 227.341 nəfərin bu sızmadan təsirləndiyini təsdiqləyib.

Hücumun Texniki Tərəfi

Esse Health məlumat sızmasının kökündə dayanan kiberhücum vektoru, çox yayılmış və təsirli bir üsul olan fişinq (phishing) hücumudur. Fişinq, kiber cinayətkarların qanuni bir qurum və ya şəxs kimi davranaraq hədəflərini aldatdığı bir sosial mühəndislik texnikasıdır. Adətən e-poçt vasitəsilə həyata keçirilir və hədəfdən istifadəçi adı, şifrə, kredit kartı məlumatları kimi həssas məlumatları oğurlamaq və ya sistemlərinə zərərli proqram təminatı yoluxdurmaq məqsədi daşıyır.

Bu hadisədə, təcavüzkarlar çox güman ki, Esse Health işçisinə tanınmış bir xidmət təminatçısından (məsələn, Microsoft 365, Google Workspace) gəlirmiş kimi görünən saxta bir e-poçt göndərmişlər. Bu e-poçtda işçidən şifrəsini yeniləməsi, hesabını təsdiqləməsi və ya vacib bir sənədi açması istənilmiş ola bilər. E-poçtdakı linkə tıklayan işçi, real giriş səhifəsinə çox bənzəyən saxta bir veb səhifəyə yönləndirilmişdir. İşçi bu saxta səhifəyə istifadəçi adını və şifrəsini daxil etdikdə, bu giriş məlumatları birbaşa təcavüzkarların əlinə keçmişdir. Təcavüzkarlar daha sonra bu məlumatlardan istifadə edərək işçinin e-poçt hesabına qanuni bir istifadəçi kimi daxil olmuş və içəridəki bütün məlumatlara məhdudiyyətsiz giriş əldə etmişlər. Bu cür bir hücum, adətən texniki bir zəiflikdən daha çox insan amilini hədəf alır, bu da kiber təhlükəsizlik təliminin əhəmiyyətini bir daha ortaya qoyur.

Təsirə Məruz Qalan İstifadəçilər Kimlərdir

Bu məlumat sızmasından birbaşa təsirlənənlər, Esse Health-dən səhiyyə xidməti almış və ya almaqda olan xəstələrdir. Şirkətin rəsmi açıqlamasına görə, ümumilikdə 227.341 xəstə bu vəziyyətdən zərər çəkmişdir. Kütləvi iddia razılaşması çərçivəsində bu şəxslər "iddia sinfi üzvü" hesab olunurlar. Bu, 29 avqust 2022-ci il tarixində və ya bu ərəfədə Esse Health tərəfindən məlumat sızması haqqında məlumatlandırılan bütün ABŞ sakinlərini əhatə edir.

İddia sinfi üzvləri, razılaşma fondundan müəyyən şərtlər daxilində təzminat tələb etmək hüququna malikdirlər. Razılaşma zərərçəkənlərə iki fərqli təzminat variantı təklif edir. Birinci variant, sızma nəticəsində yaranan adi xərclər üçün 500 dollara qədər geri ödəmə tələb etməkdir. Bu xərclər kredit hesabatlarını yoxlamaq, fırıldaqçılıq xəbərdarlıqları yerləşdirmək və ya bank haqları kimi xərcləri əhatə edə bilər. İkinci variant isə, sübut edilmiş şəxsiyyət oğurluğu və ya fırıldaqçılıq halları nəticəsində yaranan fövqəladə xərclər üçün 5.000 dollara qədər təzminat tələb etmək imkanı verir. Bundan əlavə, bütün iddia sinfi üzvləri, şəxsiyyət oğurluğuna qarşı qorunmalarına kömək etmək məqsədilə iki illik pulsuz kredit izləmə və şəxsiyyət oğurluğundan qorunma xidmətlərindən yararlanmaq hüququna malikdirlər.

Nə Etməlisiniz

Əgər Esse Health məlumat sızmasından təsirləndiyinizi düşünürsünüzsə və ya bir bildiriş almısınızsa, şəxsi və maliyyə təhlükəsizliyinizi qorumaq üçün atmanız lazım olan bəzi vacib addımlar var:

• Razılaşma Üstünlüklərindən Yararlanın: Əgər iddia sinfi üzvüsünüzsə, sizə təklif olunan pulsuz kredit izləmə xidmətlərini mütləq aktivləşdirin. Bu xidmətlər, adınıza yeni bir hesab açılması və ya şübhəli maliyyə hərəkətləri olması halında sizi xəbərdar edəcək. Həmçinin, sızma səbəbindən çəkdiyiniz xərclər üçün təzminat tələbi irəli sürmək hüququnuzdan istifadə edin.
• Hesablarınızı Yoxlayın: Bank hesablarınızı, kredit kartı çıxarışlarınızı və səhiyyə sığortası bəyannamələrinizi (EOB) mütəmadi olaraq yoxlayın. Tanımadığınız və ya şübhəli hesab etdiyiniz hər hansı bir əməliyyatı dərhal müvafiq quruma bildirin.
• Şifrələrinizi Dəyişin: Xüsusilə Esse Health ilə əlaqəli onlayn portallarda istifadə etdiyiniz şifrələri və digər platformalarda istifadə etdiyiniz oxşar şifrələri dərhal dəyişdirin. Güclü və unikal şifrələrdən istifadə etməyə çalışın.
• Fişinq Hücumlarına Qarşı Diqqətli Olun: Kiber cinayətkarlar, sızdırılmış məlumatlarınızı istifadə edərək sizə xüsusi olaraq hazırlanmış fişinq e-poçtları göndərə bilərlər. Naməlum mənbələrdən gələn e-poçtlardakı linklərə tıklamaqdan və ya əlavələri yükləməkdən çəkinin.
• Kredit Hesabatlarınızı Dondurun: Daha proaktiv bir tədbir olaraq, üç böyük kredit bürosu (Equifax, Experian, TransUnion) nəzdindəki kredit hesabatlarınızı dondurmağı düşünə bilərsiniz. Bu, sizin icazəniz olmadan heç kimin adınıza yeni bir kredit hesabı açmasının qarşısını alır.

Şirkətin Açıqlaması

Esse Health, məlumat sızmasının ardından verdiyi açıqlamalarda və hüquqi prosesdə kiber təhlükəsizlik mövzusundakı ciddiliyini vurğulamışdır. Şirkət, hadisənin aşkarlanmasından dərhal sonra hesabın təhlükəsizliyini təmin etmək, hücumun miqyasını müəyyənləşdirmək və gələcəkdə bənzər hadisələrin qarşısını almaq üçün addımlar atdığını bildirmişdir. Bu addımlar arasında, xarici kiber təhlükəsizlik mütəxəssisləri ilə işləyərək hərtərəfli bir təhqiqat aparmaq və daxili təhlükəsizlik protokollarını nəzərdən keçirmək yer alır.

Kütləvi iddia razılaşması ilə bağlı olaraq Esse Health, bu razılaşmanın bir günahkarlıq və ya səhlənkarlıq etirafı olmadığını xüsusilə qeyd etmişdir. Şirkət, hüquqi bir mübahisəni həll etmək və uzun sürə biləcək bir məhkəmə prosesinin qeyri-müəyyənliklərindən və xərclərindən yayınmaq üçün bu yola müraciət etdiyini ifadə etmişdir. Razılaşmanın bir hissəsi olaraq Esse Health, məlumat təhlükəsizliyi təcrübələrini daha da gücləndirməyi öhdəsinə götürmüşdür. Bu öhdəliklər arasında, işçilərə yönəlmiş kiber təhlükəsizlik təlimlərinin artırılması, e-poçt təhlükəsizliyi sistemlərinin təkmilləşdirilməsi və məlumatlara giriş nəzarətinin sərtləşdirilməsi kimi tədbirlərin yer alması gözlənilir. Şirkət, xəstə məlumatlarının məxfiliyini və təhlükəsizliyini qorumağın ən vacib prioritetləri arasında olduğunu ictimaiyyətə bəyan etmişdir.

Kaynak

https://www.hipaajournal.com/esse-health-data-breach-settlement/