Gandara Zentrum für psychische Gesundheit legt Klage bei

Zusammenfassung des Vorfalls

Das in Massachusetts ansässige Gandara Mental Health Center hat einen Vergleich zur Beilegung einer Sammelklage bekannt gegeben, die auf eine massive Datenpanne im Jahr 2021 zurückgeht, bei der die persönlichen und medizinischen Informationen von Zehntausenden von Patienten kompromittiert wurden. Diese Entwicklung markiert das Ende eines monatelangen Rechtsstreits für die Einrichtung, die mit Vorwürfen der Fahrlässigkeit bei ihren Cybersicherheitspraktiken konfrontiert war. Obwohl der Vergleich besagt, dass das Zentrum kein Fehlverhalten zugibt, stellt er einen wichtigen Schritt zur Entschädigung der von der Datenpanne betroffenen Personen dar.

In der Klage wurde behauptet, dass Gandara keine angemessenen Cybersicherheitsmaßnahmen ergriffen habe, um Cyberkriminelle daran zu hindern, in sein Netzwerk einzudringen und auf hochsensible Patientendaten zuzugreifen. Die Kläger argumentierten, dass das Zentrum seinen Verpflichtungen aus dem US-amerikanischen Health Insurance Portability and Accountability Act (HIPAA) nicht nachgekommen sei und die Patienten infolge dieser Fahrlässigkeit ernsthaften Risiken wie Identitätsdiebstahl, Betrug und einer Verletzung ihrer Privatsphäre ausgesetzt waren.

Offengelegte Daten und Umfang

Die Art der Daten, die infolge des Cyberangriffs durchgesickert sind, unterstreicht die Schwere des Vorfalls. Die Angreifer verschafften sich Zugang zu einer Fülle von Daten, die weit über die grundlegende Patientenidentifikation hinausgingen. Zu den offengelegten Informationen gehörten hochsensible Daten wie:

• Vollständige Namen und Adressen: Grundlegende Informationen zur Identifizierung von Patienten.
• Geburtsdaten: Ein weiteres kritisches Datum, das häufig bei Identitätsdiebstahl verwendet wird.
• Sozialversicherungsnummern (SSNs): Das Leck dieser Information, ein Eckpfeiler der Identitätsprüfung in den USA, öffnet die Tür für Finanzbetrug.
• Finanzinformationen: Daten wie Bankverbindungen oder Zahlungsinformationen.
• Geschützte Gesundheitsinformationen (PHI): Dies ist der besorgniserregendste Aspekt der Verletzung. PHI umfassen Patientendiagnosen, Behandlungsverläufe, verschriebene Medikamente, psychische Gesundheitsgutachten und Arztnotizen. Die Offenlegung solcher Informationen kann nicht nur zu finanziellen Risiken führen, sondern auch zu tiefgreifenden Datenschutzproblemen wie sozialer Stigmatisierung, Diskriminierung und persönlicher Blamage.

Laut offiziellen Mitteilungen von Gandara sind schätzungsweise mehr als 100.000 aktuelle und ehemalige Patienten von der Datenpanne betroffen. Diese Zahl zeigt deutlich die weitreichenden Auswirkungen des Angriffs und unterstreicht die Bedeutung des Vergleichs.

Der technische Aspekt des Angriffs

Basierend auf den vom Gandara Mental Health Center herausgegebenen Mitteilungen und Informationen aus den Gerichtsakten ereignete sich der Angriff, als ein unbefugter Dritter Zugang zum Netzwerk der Einrichtung erlangte. Obwohl die genaue Methode, die von den Angreifern verwendet wurde, nicht im Detail offengelegt wurde, beginnen solche Vorfälle oft mit einem von mehreren gängigen Cyberangriffsvektoren. Ein wahrscheinliches Szenario ist eine Phishing-E-Mail, die darauf abzielt, die Anmeldeinformationen eines Mitarbeiters zu stehlen. Ein Mitarbeiter, der auf einen bösartigen Link klickt oder einen Anhang in einer betrügerischen E-Mail herunterlädt, könnte den Angreifern den ersten Zugangspunkt zum Netzwerk verschafft haben.

Sobald sie sich im Netzwerk befinden, navigieren Angreifer typischerweise mit einer Technik, die als laterale Bewegung bekannt ist, durch das Netzwerk. Dabei versuchen sie, weitere Berechtigungen zu erlangen und die Server oder Datenbanken zu lokalisieren, auf denen die wertvollsten Daten gespeichert sind. Im Fall von Gandara gelang es den Angreifern, kritische Systeme mit Patientenakten zu erreichen und diese Daten zu exfiltrieren. Dies deutet auf mögliche Mängel in den grundlegenden Cybersicherheitsabwehrmaßnahmen der Einrichtung hin, wie z. B. Netzwerksegmentierung, Zugriffskontrolle und Anomalieerkennung.

Wer sind die betroffenen Benutzer

Direkt von dieser Datenpanne betroffen sind aktuelle und ehemalige Patienten, die innerhalb eines bestimmten Zeitraums Dienstleistungen vom Gandara Mental Health Center erhalten haben oder dort registriert waren. Laut Gerichtsdokumenten ist potenziell jeder betroffen, dessen Daten in den Systemen des Zentrums vorhanden waren. Dies kann sowohl erwachsene Patienten als auch Minderjährige umfassen, was die Situation noch heikler macht.

Die Risiken für diese Personen sind vielfältig. Das Leck von Sozialversicherungsnummern und Finanzinformationen schafft direkte Risiken für Finanzbetrug, wie z. B. die Aufnahme betrügerischer Kredite in ihrem Namen, die Leerung von Bankkonten oder die Einreichung falscher Steuererklärungen. Noch wichtiger ist, dass das Leck von extrem privaten medizinischen Informationen wie Diagnosen zur psychischen Gesundheit und Behandlungsnotizen dazu führen könnte, dass Opfer in ihrem beruflichen oder privaten Leben diskriminiert, sozial ausgegrenzt oder erpresst werden.

Was sollten Sie tun

Wenn Sie Dienstleistungen vom Gandara Mental Health Center erhalten haben und glauben, von dieser Datenpanne betroffen zu sein, gibt es mehrere wichtige Schritte, die Sie unternehmen können, um Ihre Rechte zu schützen und potenziellen Schaden zu minimieren:

• Überprüfen Sie die Vergleichs-Website: Besuchen Sie die offizielle Vergleichs-Website der Klage, um zu überprüfen, ob Sie zur Vergleichsklasse gehören, und um die Kriterien für die Geltendmachung eines Anspruchs zu prüfen.
• Überwachen Sie Ihre Kreditauskünfte: Fordern Sie Ihre kostenlosen jährlichen Kreditauskünfte von den großen Auskunfteien an. Überprüfen Sie diese sorgfältig auf verdächtige oder nicht erkannte Aktivitäten auf Ihren Konten.
• Platzieren Sie eine Betrugswarnung oder eine Kreditsperre: Erwägen Sie, eine Betrugswarnung in Ihren Kreditauskünften zu platzieren oder, für eine stärkere Maßnahme, Ihre Kreditwürdigkeit einzufrieren.
• Nutzen Sie den kostenlosen Kreditüberwachungsdienst: Im Rahmen des Vergleichs bietet Gandara den betroffenen Personen in der Regel mehrere Jahre kostenlose Dienste zur Überwachung von Identitätsdiebstahl und Kredit an. Melden Sie sich unbedingt für diesen Dienst an.
• Seien Sie vorsichtig bei verdächtiger Kommunikation: Seien Sie wachsam gegenüber Betrügern, die Sie unter dem Vorwand der Datenpanne anrufen, per E-Mail oder SMS kontaktieren könnten.

Die Erklärung des Unternehmens

In seiner Erklärung zur Vergleichsvereinbarung bekräftigte das Gandara Mental Health Center sein Engagement für den Datenschutz und die Datensicherheit der Patienten. Die Einrichtung gab an, nach dem Vorfall bedeutende Schritte zur Stärkung ihrer Cybersicherheitsinfrastruktur unternommen zu haben. Zu diesen Schritten gehören die Implementierung verbesserter Netzwerküberwachungssysteme, die Ausweitung der Nutzung von Multi-Faktor-Authentifizierung (MFA), die Verstärkung von Cybersicherheitsschulungen für Mitarbeiter und die Überprüfung ihrer Datensicherheitsrichtlinien.

Das Zentrum erklärte, dass es diesem Vergleich zugestimmt habe, um einen langwierigen und kostspieligen Rechtsstreit zu vermeiden und den betroffenen Personen eine schnelle Lösung zu bieten, obwohl es kein rechtliches Fehlverhalten zugebe.

Kaynak

https://www.hipaajournal.com/gandara-mental-health-center-settles-class-action-data-breach-lawsuit/