Центр Gandara урегулировал иск по делу об утечке данных

Обзор инцидента

Центр психического здоровья Gandara, расположенный в Массачусетсе, объявил о заключении мирового соглашения для урегулирования коллективного иска, связанного с крупной утечкой данных в 2021 году, которая скомпрометировала личную и медицинскую информацию десятков тысяч пациентов. Это событие знаменует собой завершение многомесячного судебного процесса для учреждения, столкнувшегося с обвинениями в халатности в вопросах кибербезопасности. Хотя в соглашении указано, что центр не признает своей вины, оно представляет собой важный шаг к возмещению ущерба лицам, пострадавшим от утечки данных.

В иске утверждалось, что Gandara не смогла внедрить адекватные меры кибербезопасности для предотвращения проникновения киберпреступников в свою сеть и получения доступа к крайне конфиденциальным данным пациентов. Истцы утверждали, что центр не выполнил свои обязательства в соответствии с американским Законом о преемственности и подотчетности медицинского страхования (HIPAA), и в результате этой халатности пациенты подверглись серьезным рискам, таким как кража личных данных, мошенничество и нарушение конфиденциальности.

Утекшие данные и масштаб

Характер данных, утекших в результате кибератаки, подчеркивает серьезность инцидента. Злоумышленники получили доступ к массиву данных, который выходил далеко за рамки основной идентификационной информации пациентов. Раскрытая информация включала в себя такие крайне конфиденциальные данные, как:

• Полные имена и адреса: Основная информация для идентификации пациентов.
• Даты рождения: Еще один критически важный элемент данных, часто используемый при краже личных данных.
• Номера социального страхования (SSN): Утечка этой информации, являющейся краеугольным камнем идентификации в США, широко открывает двери для финансового мошенничества.
• Финансовая информация: Данные, такие как реквизиты банковских счетов или платежная информация.
• Защищенная медицинская информация (PHI): Это самый тревожный аспект утечки. PHI включает диагнозы пациентов, истории лечения, назначенные лекарства, оценки психического здоровья и заметки врачей. Раскрытие такой информации может привести не только к финансовым рискам, но и к серьезным проблемам с конфиденциальностью, таким как социальная стигматизация, дискриминация и личное унижение.

Согласно официальным уведомлениям от Gandara, предполагается, что утечка данных затронула более 100 000 нынешних и бывших пациентов. Эта цифра наглядно демонстрирует, насколько широк был охват атаки и почему урегулирование так важно.

Технический аспект атаки

Согласно уведомлениям, опубликованным Центром психического здоровья Gandara, и информации из судебных документов, атака произошла, когда неавторизованная третья сторона получила доступ к сети учреждения. Хотя точный метод, использованный злоумышленниками, не был подробно раскрыт, подобные инциденты часто начинаются с одного из нескольких распространенных векторов кибератак. Одним из вероятных сценариев является фишинговое письмо, предназначенное для кражи учетных данных сотрудника. Клик сотрудника по вредоносной ссылке или загрузка вложения в мошенническом письме могли предоставить злоумышленникам первоначальную точку входа в сеть.

Попав в сеть, злоумышленники обычно перемещаются по ней, используя технику, известную как боковое движение. В этом процессе они пытаются получить дополнительные привилегии и найти серверы или базы данных, где хранятся самые ценные данные. В случае Gandara злоумышленникам удалось добраться до критически важных систем, содержащих записи пациентов, и вывести эти данные. Это указывает на возможные недостатки в основных средствах кибербезопасности учреждения, таких как сегментация сети, контроль доступа и обнаружение аномалий.

Кто является пострадавшими пользователями

Непосредственно пострадавшими от этой утечки данных являются нынешние и бывшие пациенты, которые получали услуги или были зарегистрированы в Центре психического здоровья Gandara в определенный период времени. Согласно судебным документам, потенциально затронуты все, чьи данные находились в системах центра. Это может включать как взрослых пациентов, так и несовершеннолетних, что делает ситуацию еще более деликатной.

Риски для этих лиц многогранны. Утечка номеров социального страхования и финансовой информации создает прямые риски финансового мошенничества, такие как оформление мошеннических кредитов на их имя, опустошение банковских счетов или подача ложных налоговых деклараций. Что еще более важно, утечка крайне личной медицинской информации, такой как диагнозы в области психического здоровья и записи о лечении, может привести к тому, что жертвы столкнутся с дискриминацией в профессиональной или личной жизни, социальной изоляцией или шантажом.

Что вам следует делать

Если вы получали услуги в Центре психического здоровья Gandara и считаете, что могли пострадать от этой утечки данных, есть несколько важных шагов, которые вы можете предпринять, чтобы защитить свои права и минимизировать потенциальный ущерб:

• Проверьте сайт урегулирования: Посетите официальный сайт мирового соглашения по иску, чтобы проверить, включены ли вы в класс урегулирования, и ознакомиться с критериями подачи иска.
• Контролируйте свои кредитные отчеты: Запросите бесплатные годовые кредитные отчеты в крупных кредитных бюро — Equifax, Experian и TransUnion. Внимательно проверьте их на наличие любой подозрительной или незнакомой активности на ваших счетах.
• Установите предупреждение о мошенничестве или заморозку кредита: Рассмотрите возможность установки предупреждения о мошенничестве в ваших кредитных отчетах или, для более сильной защиты, заморозьте свой кредит.
• Воспользуйтесь бесплатной услугой кредитного мониторинга: В рамках урегулирования Gandara обычно предлагает пострадавшим лицам несколько лет бесплатных услуг по мониторингу кредита и защите от кражи личных данных. Обязательно зарегистрируйтесь в этой услуге.
• Будьте осторожны с подозрительными сообщениями: Будьте начеку в отношении мошенников, которые могут звонить, отправлять электронные письма или текстовые сообщения, используя утечку данных в качестве предлога.

Заявление компании

В своем заявлении относительно мирового соглашения Центр психического здоровья Gandara подтвердил свою приверженность конфиденциальности пациентов и безопасности данных. Учреждение заявило, что предприняло значительные шаги для укрепления своей инфраструктуры кибербезопасности после инцидента. Эти шаги включают внедрение усовершенствованных систем мониторинга сети, расширение использования многофакторной аутентификации (MFA), усиление обучения сотрудников по кибербезопасности и пересмотр политик безопасности данных.

Центр выразил, что согласился на это урегулирование, чтобы избежать длительного и дорогостоящего судебного процесса и предоставить быстрое решение для пострадавших лиц, несмотря на отсутствие юридического признания вины.

Kaynak

https://www.hipaajournal.com/gandara-mental-health-center-settles-class-action-data-breach-lawsuit/