De Amerikaanse zorgverzekeraar Premera Blue Cross zal een coalitie van Amerikaanse staten in totaal 10 miljoen dollar betalen wegens een datalek waarbij de gegevens van ruim 10 miljoen mensen werden gestolen. Het ging om namen, geboortedata, social security nummers, postadressen, e-mailadressen, telefoonnummers, rekeninggegevens en informatie over verzekeringsclaims, waaronder klinische data.

De gestolen klantgegevens gingen terug tot 2002. Premera Blue Cross ontdekte op 29 januari van dit jaar dat aanvallers toegang tot het netwerk hadden gekregen. Volgens de zorgverzekeraar was hiervoor een "geraffineerde aanval" gebruikt, maar verdere details over de aanval werden niet gegeven. Nu blijkt dat de aanvaller gebruikmaakte van bekende kwetsbaarheden die de zorgverzekeraar niet had verholpen.

Volgens het openbaar ministerie van de staat Washington heeft Premera gevoelige klantgegevens niet afdoende beveiligd en klanten zowel voor als na het datalek misleid. De aanklager stelt dat de aanvaller meerdere bekende kwetsbaarheden gebruikte en daardoor bijna een jaar toegang tot de klantgegevens had. Jaren voor het datalek hadden beveiligingsexperts en auditors de verzekeraar herhaaldelijk gewaarschuwd dat het beveiligingsprogramma tekort schoot, toch accepteerde het bedrijf de risico's zonder de werkwijze aan te passen.

Nadat het datalek bekend werd liet Premera klanten weten dat er geen aanleiding was om aan te nemen dat hun gegevens waren benaderd of misbruikt. Tevens kregen klanten te horen dat er aanzienlijke beveiligingsmaatregelen waren genomen om hun gegevens te beschermen, ook al hadden beveiligingsexperts en auditors het bedrijf voor het datalek over de kwetsbaarheden gewaarschuwd.

Naast het betalen van de 10 miljoen dollar moet Premera ervoor zorgen dat het beveiligingsprogramma aan de Amerikaanse zorgwetgeving voldoet, beveiligingsmaatregelen periodiek worden beoordeeld, er een chief information security officer wordt aangenomen en al het personeel dat met gevoelige gegevens werkt een securitytraining krijgt. De schade voor de zorgverzekeraar kan nog hoger uitvallen, aangezien er ook een massaclaim is ingediend.