Canadese zorgverlener afgeperst met gestolen medische dossiers
Aanvallers hebben bij een Canadese zorgverlener de vertrouwelijke medische dossiers van tienduizenden, en mogelijk zelfs honderdduizenden, patiënten gestolen en dreigen die openbaar te maken tenzij er wordt betaald. Het gaat om namen, telefoonnummers, adresgegevens, geboortedata, medische aandoeningen, diagnoses, chirurgische ingrepen, zorgplannen, medicatie en creditcardgegevens. Ook zijn er gegevens van medewerkers buitgemaakt.
De data is gestolen bij CarePartners, dat in opdracht van de Canadese overheid thuiszorg levert. De zorgverlener maakte vorige maand bekend dat aanvallers toegang tot systemen met persoonlijke gezondheidsgegevens en financiële informatie van patiënten en medewerkers hadden verkregen. De gestolen informatie van de medewerkers bestaat uit belastingdocumenten, verzekeringsnummers, rekeninggegevens en wachtwoorden in platte tekst. Hoe de aanvallers toegang wisten te krijgen is niet bekendgemaakt, maar CarePartners stelt dat er kwetsbaarheden zijn verholpen.
De aanvallers hebben een deel van de gestolen data met CBC gedeeld. Het gaat om de gegevens van 80.000 patiënten. De aanvallers claimen dat het een subset betreft en dat ze de patiëntendossiers en bijbehorende gegevens van honderdduizenden patiënten sinds 2010 bezitten. Tegenover CBC stellen de aanvallers dat ze een vergoeding hebben gevraagd om CarePartners uit te leggen hoe ze de beveiligingsproblemen kunnen verhelpen en dat de data niet online wordt geplaatst.
Volgens de aanvallers ontdekten ze bij toeval kwetsbare software op het netwerk van CarePartners die al twee jaar niet was geüpdatet. Via deze kwetsbaarheden en zwakke wachtwoorden wisten de aanvallers naar eigen zeggen honderden gigabytes aan data te stelen zonder dat dit werd opgemerkt. "Dit datalek raakt honderdduizenden Canadezen en was geheel te voorkomen. Geen van de gegevens die we hebben was versleuteld", aldus een verklaring van de aanvallers.
De zorgverlener wilde geen vragen over het losgeld beantwoorden, maar stelt dat het datalek maximaal 237.000 patiënten kan raken waarvan CarePartners de gegevens heeft verzameld. Of en wanneer de gegevens online verschijnen is nog onduidelijk.
Inderdaad, werkelijk dreigen de data online te plaatsen zou nog effectiever zijn. Maar dit werkt ook al bestens.
Boeiuh als je een zwarte hoed draagt en simpelweg geld wil verdienen. Vaak is het ook nog zo dat als je wel een normale melding maakt er niks mee gedaan wordt of men met rechtzaken gaat dreigen.
Het blijft een feit dat veel bedrijven niet willen investeren in een basis beveiliging. Tel daar bij op dat steeds meer gekoppeld is en dan moet het een keer fout gaan.
Boeiuh als je een zwarte hoed draagt en simpelweg geld wil verdienen.
En als je het over het hollywood-en-media spraakgebruik hebt, nou, noem je je graag een boeman van de interwebse? Lijkt me ook al niet constructief.
"Wat?!? Jij hebt mijn mooie software kapotgemaakt!?! BOETEN ZUL JE!!!" zegt de directeur van het softwarebedrijf.
Als je het zo bekijkt is het ineens heel goed te begrijpen waarom er toch iedere keer met die rechtszaken gesmeten wordt en wat voor een ontzettend gebroddel het zogenaamde "ethische" computer security gajes neerzet. Nou, professioneel hoor.
We wisten heel goed of hadden zeker kunnen weten dat wat we deden niet houdbaar was, en het enige wat er mondjesmaat gedaan werd was ontzettende cowboys inhuren die zichzelf "hacker" noemden en onderling niet konden stoppen met bekvechten wie er nou "ethisch" was en wat voor kleur cowboyhoed daar bij hoorde, maar eigenlijk nooit echt verder kwamen dan wat we onder de benaming s'kiddie verstaan. Gepruts, dus.
En zoals we hier vandaag nog maar eens kunnen zien, dit is "state of the art", "best current industry practice", en kennelijk gewoon geaccepteerd gedrag. Het security wereldje in een notedop.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
