Endue Software выплатит $870 тыс. по делу об утечке данных

Обзор инцидента и предыстория

Компания Endue Software, значимый игрок в секторе медицинских технологий, столкнулась с юридическими последствиями разрушительной кибератаки, произошедшей в 2024 году. Компания согласилась создать фонд урегулирования в размере 870 000 долларов для разрешения коллективного иска, поданного против нее за утечку данных, в результате которой была раскрыта конфиденциальная личная и медицинская информация десятков тысяч пациентов. Это решение в очередной раз подчеркивает финансовые и репутационные обязательства, которые небрежность в области кибербезопасности накладывает на компании.

Инцидент начался, когда киберпреступники проникли в системы Endue Software и получили доступ к базам данных пациентов медицинских учреждений, обслуживаемых компанией. Хотя атака была первоначально обнаружена службами безопасности компании, предотвратить утечку данных злоумышленниками не удалось. После утечки группа истцов, представляющих пострадавших пациентов, инициировала судебный процесс, утверждая, что компания не приняла разумных и адекватных мер безопасности для защиты данных пациентов. Истцы заявили, что Endue Software своевременно не устранила известные уязвимости в системе безопасности и не внедрила стандартные отраслевые протоколы шифрования. После длительных переговоров компания выбрала путь урегулирования, чтобы избежать дальнейших судебных издержек и закрыть вопрос, не признавая при этом своей вины.

Объем и характер украденных данных

Эта утечка данных вызывает особую тревогу из-за конфиденциальности раскрытой информации. Злоумышленники получили доступ к широкому набору данных, содержащих самую личную информацию пациентов. Это создает серьезные риски для жертв, включая кражу личных данных, мошенничество и даже медицинское мошенничество. Скомпрометированные данные включают:

• Полные имена и фамилии: Основная информация, прямо идентифицирующая лиц.
• Даты рождения: Критически важная информация, часто используемая в процессах проверки личности.
• Номера социального страхования (SSN): Один из самых конфиденциальных элементов данных, используемый для открытия финансовых счетов и официальных транзакций.
• Адресная информация: Данные, которые могут быть использованы для угроз физической безопасности и мошенничества.
• Медицинские диагнозы и информация о лечении: Чрезвычайно личная информация, подробно описывающая состояние здоровья пациентов, перенесенные заболевания и полученное лечение. Такие данные могут использоваться для страхового мошенничества или шантажа.
• Информация о медицинском страховании: Номера полисов и данные страховой компании.

По оценкам, утечка затронула десятки тысяч человек. Считается, что их данные теперь могут продаваться киберпреступниками на форумах даркнета или использоваться для будущих целевых фишинговых атак. Чтобы оставаться в курсе подобных инцидентов, крайне важно регулярно следить за источниками, публикующими Новости об утечках данных.

Технический аспект атаки

Согласно первоначальным заявлениям Endue Software и анализу экспертов по кибербезопасности, атака, скорее всего, была частью операции с использованием программы-вымогателя (ransomware). Программа-вымогатель — это тип кибератаки, при которой преступники проникают в систему, шифруют данные и требуют выкуп от жертвы за их расшифровку. Однако современные группы, использующие программы-вымогатели, теперь применяют тактику, известную как «двойное вымогательство».

При этой тактике злоумышленники извлекают большую копию данных на свои серверы перед их шифрованием. Если жертва отказывается платить выкуп, злоумышленники угрожают опубликовать данные или продать их в даркнете. Предполагается, что именно этот сценарий произошел в случае с Endue Software. Неизвестно, заплатила ли компания выкуп, но тот факт, что данные были слиты, предполагает, что либо выкуп не был уплачен, либо он был уплачен, но злоумышленники все равно слили данные. Первоначальный доступ злоумышленников к системе, вероятно, был получен через фишинговую атаку или неисправленную уязвимость в программном обеспечении на серверах.

Кто пострадал и что делать?

Непосредственно пострадавшими от этой утечки являются пациенты больниц, клиник и других медицинских учреждений, использующих платформу Endue Software. Если вы проходили лечение в таком учреждении в последние несколько лет и делились своей личной информацией, вы могли пострадать от утечки. Компания обязалась уведомить пострадавших лиц в рамках урегулирования.

Если вы считаете, что пострадали от этой утечки, или получили уведомление, настоятельно рекомендуется предпринять следующие шаги:

• Проверьте свои кредитные отчеты: Регулярно отслеживайте свои кредитные отчеты, чтобы выявить любые подозрительные счета или кредиты, открытые на ваше имя.
• Установите предупреждение о мошенничестве: Свяжитесь с кредитными бюро, чтобы установить предупреждение о мошенничестве в вашем файле.
• Следите за своими счетами: Внимательно просматривайте выписки по банковским и кредитным картам и немедленно сообщайте о любых незнакомых транзакциях.
• Остерегайтесь фишинговых писем: Злоумышленники могут использовать украденную информацию для отправки вам персонализированных фишинговых писем.
• Используйте инструменты для поиска утечек данных: Вы можете использовать надежный сервис Поиск утечки данных, чтобы узнать, был ли ваш адрес электронной почты или другая личная информация скомпрометирована в этой или других утечках.

Заявление компании и детали урегулирования

В официальном заявлении Endue Software выразила глубокое сожаление по поводу неудобств, вызванных инцидентом. Компания подчеркнула, что после кибератаки были сделаны значительные инвестиции в укрепление инфраструктуры безопасности и что она работает со сторонними фирмами по кибербезопасности для предотвращения подобных инцидентов в будущем. В заявлении говорилось: «Безопасность данных наших клиентов и их пациентов является нашим главным приоритетом. Хотя это урегулирование не является признанием вины, оно позволяет нам избежать длительного и дорогостоящего судебного процесса и сосредоточить наши ресурсы на дальнейшем укреплении наших систем».

Фонд урегулирования в размере 870 000 долларов будет использован для покрытия расходов лиц, участвующих в иске и способных доказать, что они пострадали от утечки. Эти расходы включают услуги по защите от кражи личных данных, возмещение задокументированных убытков от мошенничества и небольшую компенсацию за время, потраченное на устранение последствий утечки. Урегулирование все еще ожидает окончательного утверждения судом.

Kaynak

https://www.hipaajournal.com/endue-software-data-breach-settlement/