Gesundheitsskandal in Richmond Daten von 266.000 gestohlen

Was ist passiert

Eine Radiologie-Klinik in Richmond, Virginia, hat heute mit ihrer Ankündigung quasi eine Bombe platzen lassen. Radiology Associates of Richmond (RAR) gab zu, dass die Daten von sage und schreibe 266.000 Patienten kompromittiert wurden. Das ist nicht nur ein einfaches Datenleck; es bedeutet, dass die privatesten Informationen von Menschen – ihre Gesundheitsakten – jetzt in den Händen von Cyberkriminellen sind. Laut der Erklärung des Unternehmens ereignete sich der Vorfall im März. Aber die Patienten erfahren erst jetzt davon. Zwei ganze Monate sind vergangen. Man muss sich nur einmal vorstellen, was in dieser Zeit mit diesen Daten angestellt werden konnte.

Die Schwere der Situation liegt in der schieren Anzahl der Opfer und der Art der gestohlenen Informationen. Dies ist eine regionale Gesundheitskrise, die weit mehr als nur eine lokale Klinik betrifft. RAR ist ein wichtiger Akteur, der Dienstleistungen für viele Krankenhäuser und Kliniken in und um Richmond erbringt. Daher könnte die Zahl der Betroffenen nicht auf diejenigen beschränkt sein, die direkt durch die Türen von RAR gegangen sind. Das Unternehmen gibt an, nach der Entdeckung des Angriffs eine Cybersicherheitsfirma beauftragt zu haben, um seine Systeme zu sichern und das Ausmaß des Vorfalls zu verstehen. Ein klassischer Fall von „den Brunnen erst zudecken, wenn das Kind schon hineingefallen ist“. Aber die eigentliche Frage ist: Warum hatten sie nicht von vornherein angemessene Maßnahmen zum Schutz solch sensibler Daten?

Die kompromittierten Daten

Kommen wir nun zum beunruhigendsten Teil. Was haben die Cyberdiebe gestohlen? So ziemlich Ihre gesamte digitale Identität. Laut der von RAR eingereichten Mitteilung umfassen die kompromittierten Informationen:

• Vollständige Namen: Der erste Schritt bei jedem Phishing- oder Identitätsdiebstahlsangriff.
• Physische Adressen: Öffnet die Tür zu physischen Sicherheitsrisiken und anderen Formen des Betrugs.
• Geburtsdaten: Eine Schlüsselinformation, die häufig bei Identitätsüberprüfungen verwendet wird.
• Sozialversicherungsnummern (SSNs): Das ist der rote Alarm. In den USA ist eine SSN der Schlüssel zu Ihrer finanziellen Identität. Damit können Kriminelle Kreditkarten auf Ihren Namen eröffnen, Bankkonten leeren und sogar betrügerische Steuererklärungen einreichen.
• Krankenversicherungsinformationen: Policennummern, Gruppennummern... Mit diesen Informationen können Kriminelle medizinische Leistungen in Ihrem Namen in Anspruch nehmen und Versicherungsgesellschaften betrügen. Das Nächste, was Sie wissen, ist, dass Sie eine Rechnung für eine Behandlung erhalten, die Sie nie hatten.
• Medizinische Informationen: Vielleicht das Schlimmste von allem. Diagnosen, Behandlungsverläufe, Arztnotizen, Bildgebungsergebnisse... Diese Informationen sind nicht nur peinlich oder privat; sie können auch zur Erpressung verwendet werden. Stellen Sie sich vor, jemand mit einer sensiblen Erkrankung wird mit der öffentlichen Enthüllung seines Gesundheitszustands bedroht.

Die Kombination all dieser Daten ist eine wahre Fundgrube für Cyberkriminelle. Es ist das, was als „Fullz“ bekannt ist – ein vollständiges Profil. Mit diesen Informationen können sie das digitale Leben einer Person vollständig übernehmen. Im Dark Web sind solche umfassenden Gesundheitsdaten weitaus wertvoller als einfache Kreditkartennummern, und es gibt viele Käufer.

Wie der Angriff geschah

Wie haben sie also diese vermeintlich massive Sicherheitsmauer durchbrochen? Das Unternehmen hält sich mit technischen Details sehr bedeckt. Unsere Erfahrung in der Cybersicherheitswelt und ähnliche Fälle geben uns jedoch eine Vorstellung von den wahrscheinlichen Szenarien. Angriffe dieser Art beginnen normalerweise mit einem „initialen Zugriff“. Dies geschieht oft durch die Unachtsamkeit eines Mitarbeiters – zum Beispiel durch das Klicken auf einen Link in einer Phishing-E-Mail oder die Verwendung eines schwachen Passworts. Nach diesem ersten Schritt dringen die Angreifer in das Netzwerk ein.

Aber sie schlagen nicht sofort zu. Sie können wochen- oder sogar monatelang still im Inneren verweilen und das Netzwerk kartieren. Sie lernen, wo sich welche Daten befinden, wo Backups gespeichert sind und wie sie an die wertvollsten Informationen gelangen. Diese „Verweildauer“ (Dwell Time) erhöht das zerstörerische Potenzial des Angriffs. Im Fall von RAR ist unklar, wie lange die Angreifer im System waren, bevor sie im März entdeckt wurden. Sie könnten schon seit Wochen dort gewesen sein.

Die Phase des Datendiebstahls, oder „Datenexfiltration“, findet normalerweise direkt vor der Endphase des Angriffs statt. Sie ziehen so viele Daten wie möglich auf ihre eigenen Server. Der letzte Schlag ist oft Ransomware. Sie verschlüsseln die Systeme und fordern ein Lösegeld, um sowohl die Daten wiederherzustellen als auch die gestohlenen Informationen nicht zu veröffentlichen. Dies ist eine rücksichtslose Taktik, die als „doppelte Erpressung“ bekannt ist. RAR hat sich nicht zu Ransomware geäußert, aber dieses Szenario ist bei Angriffen auf den Gesundheitssektor unglaublich häufig.

Wer ist betroffen

Auf dem Papier sind es 266.000 Menschen. Aber wer sind sie wirklich? Jeder, der in den letzten Jahren bei Radiology Associates of Richmond war, ist ein potenzielles Opfer. Nicht nur aktuelle Patienten, sondern auch ehemalige Patienten sind gefährdet. Gesundheitsorganisationen sind gesetzlich verpflichtet, Patientenakten jahrelang aufzubewahren. Das bedeutet, dass eine Röntgenaufnahme, die Sie vor einem Jahrzehnt gemacht haben, Teil dieser Panne sein könnte.

Wenn Sie in oder um Richmond leben und ein Arzt Sie zu einer Röntgen-, MRT- oder CT-Untersuchung überwiesen hat, müssen Sie prüfen, ob diese Einrichtung eine Verbindung zu RAR hat. Da RAR ein zentraler Knotenpunkt ist, der radiologische Dienstleistungen für viele verschiedene Gesundheitsdienstleister erbringt, könnten Ihre Daten auf deren Systemen verarbeitet worden sein, auch wenn Sie nie physisch einen RAR-Standort betreten haben. Dies macht den Umfang der Panne noch komplexer und besorgniserregender. Die von der Firma versandten Benachrichtigungsschreiben werden klären, wer betroffen ist. Aber auf diese Briefe zu warten, ist nichts als Zeitverschwendung.

Was Sie tun können

Lassen wir den klassischen Rat „Ändern Sie Ihr Passwort“ beiseite. Diese Situation ist weitaus ernster. Hier sind die Schritte, die wirklich helfen:

1. Frieren Sie Ihre Kreditauskünfte ein: Dies ist das absolut Wirksamste, was Sie tun können. Kreditüberwachungsdienste informieren Sie, nachdem ein Betrug stattgefunden hat. Eine Kreditsperre verhindert ihn von vornherein. Kontaktieren Sie die drei großen Kreditauskunfteien – Equifax, Experian und TransUnion – telefonisch oder über deren Websites und frieren Sie Ihre Berichte ein. Diese Maßnahme verhindert, dass jemand ohne Ihre Erlaubnis ein neues Kreditkonto in Ihrem Namen eröffnet. Es ist ein kostenloser Service und ein Lebensretter.

2. Prüfen Sie Ihre Krankenversicherungsabrechnungen genau: Überprüfen Sie sorgfältig die „Leistungsübersicht“ (Explanation of Benefits - EOB), die Sie von Ihrer Versicherung erhalten. Wenn Sie einen Arzt sehen, den Sie nicht kennen, eine Behandlung, die Sie nicht erhalten haben, oder eine Dienstleistung, die Sie nicht in Anspruch genommen haben, rufen Sie sofort Ihre Versicherungsgesellschaft an. Dies ist das deutlichste Zeichen für medizinischen Identitätsdiebstahl.

3. Seien Sie skeptisch gegenüber der „kostenlosen“ Kreditüberwachung des Unternehmens: RAR hat angekündigt, den Betroffenen kostenlose Kreditüberwachungsdienste anzubieten. Sie sollten es annehmen; es ist kostenlos. Aber denken Sie nicht, dass es Sie vollständig schützen wird. Diese Dienste sind oft begrenzt und reaktiv. Sie müssen immer noch proaktive Schritte wie das Einfrieren Ihrer Kreditauskunft unternehmen. Lesen Sie auch die Allgemeinen Geschäftsbedingungen, denen Sie bei der Anmeldung zustimmen. Manchmal verlangen diese Vereinbarungen, dass Sie auf Ihr Recht verzichten, das Unternehmen zu verklagen.

4. Seien Sie wachsam gegenüber dem IRS und der Sozialversicherungsbehörde: Da Ihre Sozialversicherungsnummer gestohlen wurde, könnten Kriminelle versuchen, eine betrügerische Steuererklärung in Ihrem Namen einzureichen oder Ihre Sozialversicherungsleistungen zu stehlen. Erstellen Sie ein IRS-Konto, um Ihre Aktivitäten zu überwachen, und überprüfen Sie regelmäßig Ihre Auszüge bei der Sozialversicherungsbehörde.

Was das Unternehmen sagt

Die Erklärung von Radiology Associates of Richmond weicht nicht von der erwarteten Unternehmenssprache ab. Sie ist gefüllt mit Phrasen wie: „Wir nehmen den Schutz und die Sicherheit der Daten unserer Patienten sehr ernst.“ Sie drücken ihr „tiefes Bedauern“ über den Vorfall aus und geben an, „ihre Sicherheitsmaßnahmen zu verbessern, um ähnliche Ereignisse in Zukunft zu verhindern.“ Diese Aussagen klingen wie eine Standardvorlage, die wir nach jeder Datenpanne hören.

Aber man muss zwischen den Zeilen lesen. Das Unternehmen erklärt nicht klar, warum die Benachrichtigung erst Ende Mai erfolgt, obwohl der Angriff im März stattfand. Es ist wahr, dass rechtliche Prozesse und Untersuchungen Zeit brauchen. Eine zweimonatige Verzögerung führte jedoch dazu, dass die Opfer wertvolle Zeit verloren, um sich zu schützen. Wie viele betrügerische Konten wurden in diesem Zeitraum eröffnet? Wie viele falsche Versicherungsansprüche wurden eingereicht? Es ist unmöglich, das zu wissen. Das Unternehmen verspricht, allen Betroffenen Benachrichtigungsschreiben zu senden und einen einjährigen kostenlosen Schutz vor Identitätsdiebstahl anzubieten. Aber für den Diebstahl lebenslanger Informationen wie einer Sozialversicherungsnummer ist ein einjähriger Schutz wie ein Pflaster auf einer klaffenden Wunde. Diese Panne hat nicht nur die digitale Sicherheit des Unternehmens, sondern auch seinen Ruf und das Vertrauen seiner Patienten tief erschüttert.

Quelle

https://www.securityweek.com/266000-affected-by-data-breach-at-radiology-associates-of-richmond/