Amerikaans bedrijf aangeklaagd wegens lekken van bijna 4 miljoen patiëntgegevens
Het Amerikaanse bedrijf Medical Informatics Engineering (MIE) is door 12 Amerikaanse staten aangeklaagd voor een datalek in 2015 waarbij bijna 4 miljoen patiëntgegevens in criminele handen kwamen. Kwaadwillenden waren in mei 2015 in staat om binnen te dringen in de backend-systemen van het bedrijf. Ze wisten daar gegevens van 3,9 miljoen burgers te stelen.
Het ging niet alleen om namen en adresgegevens, maar ook om social security-nummers, laboratoriumuitslagen, medische diagnoses, namen van artsen en andere medische gegevens.
MIE wordt beschuldigd van het overtreden van 27 federale wetten die betrekking hebben op het melden van een datalek, misleiding en beveiliging van persoonsgegevens, schrijft Naked Security.
Het bedrijf in kwestie zou de computersystemen onvoldoende hebben beveiligd. Ook werd niemand ingelicht over de slecht beveiligde systemen en werden de gedupeerden te laat geïnformeerd. Op 26 mei 2015 werd de hack ontdekt, op 10 juni werd er een melding over gemaakt op de website van het bedrijf. In juli werd begonnen gedupeerden per e-mail te informeren en pas in december 2017 ontvingen gedupeerden per post een brief over het incident.In de aanklacht staat dat MIE verzuimd heeft de gevoelige gegevens te versleutelen terwijl het bedrijf dit wel beweerde te doen. Bovendien werden er testaccounts gebruikt met wachtwoorden 'tester' en 'testing', zodat de medewerkers van klanten niet met een eigen unieke gebruikersnaam hoefden in te loggen. Volgens de aanklagers was het bedrijf al eerder door pentesters gewaarschuwd voor deze risico's, maar ondernam het geen actie.
Uiteindelijk wisten de aanvallers via een van de testaccounts binnen te komen en werd door middel van SQL-injectie toegang verkregen tot de gegevens in de database.
[UPDATE] opmerkingen in algemene zin, niet voor dit specifieke geval
- "It also used test accounts sharing the passwords “tester” and “testing”, established so that a client’s employees didn’t have to log in with a unique user ID."
- "gaining further access to privileged accounts called .."
- "dn’t have any data exfiltration alarms in place. It was a network performance monitoring alarm that raised the red flag …"
- "When the breach was discovered, MIE only had a draft incident response plan, and there was no evidence that it followed that in any case, the states say."
Dat zijn vier kritische punten in da soort high over security frameworks waar gefaald is. (hoe herkenbaar …)
https://www.security.nl/posting/587922/ISO+standaarden+voor+management
"to follow several security measures. These include using multi-factor authentication, not making generic accounts accessible via the internet, using strong passwords, training staff properly in cybersecurity, using a security incident and event monitoring (SIEM) solution, and putting SQL injection attack detection measures in place."
"What’s interesting here is the collaborative nature of the settlement. As voices call for stricter federal privacy protection laws, this could be a sign that states are getting fed up with these mega-breaches and are taking things into their own hands."
Ik ben het al een tijdje zat hoe er met informatieveiligheid om gegaan wordt. Goed om te lezen dat het breder leeft,
Oeps, dat heb ik niet willen suggereren voor dit specifieke geval. Ik bedoelde het in algemene zin. Als voorbeeld van wat je niet (meer) moet doen tegenwoordig.
In bovenstaande samenvatting is het niet duidelijk, maar de klanten zijn de zorginstellingen en de medewerkers dus het personeel ervan. Als je testaccounts toelaat om in te loggen, weet je zelfs niet vanuit welke zorginstelling de data bekeken is.
Verder zie ik in het log op mijn mailserver dat vaak geprobeerd toegang te krijgen via accounts als "test", "kantoor", "zaak" etc. omdat die vaak ook nog even een simpel te raden wachtwoord krijgen.
Dat en MIE failed to encrypt sensitive information, even though it said it did, the lawsuit says. It also used test accounts sharing the passwords “tester” and “testing”, established so that a client’s employees didn’t have to log in with a unique user ID. duiden op grove en bewuste nalatigheid.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
