Gigant branży medycznej potwierdza cyberatak. Cyberprzestępcy żądają 55 mln dolarów

Jak informuje portal cyberinsider.com, ShinyHunters przekazało redakcji próbki danych mające pochodzić z infrastruktury wykorzystywanej przez McKesson. Dziennikarze ocenili, że odpowiadają one rodzajom informacji, których przejęcie deklarują cyberprzestępcy.

McKesson to jedna z największych firm z sektora ochrony zdrowia w Stanach Zjednoczonych. Dostarcza m.in. leki, sprzęt medyczny i rozwiązania technologiczne, współpracując z aptekami, szpitalami, klinikami, lekarzami oraz producentami farmaceutycznymi.

Dane medyczne i numery Social Security

ShinyHunters twierdzi, że zdobyło 284 mln rekordów powiązanych z dziesiątkami milionów pacjentów. Dokładna liczba osób objętych incydentem pozostaje nieznana. To istotne rozróżnienie, ponieważ liczba rekordów nie oznacza liczby poszkodowanych pacjentów.

Jak wskazuje CyberInsider, ShinyHunters twierdzi, że wśród przejętych informacji znajdują się m.in.:

• dane identyfikacyjne i kontaktowe - imiona i nazwiska, adresy zamieszkania, daty urodzenia, numery telefonów, adresy e-mail oraz numery Social Security Number (SSN);
• identyfikatory związane z opieką zdrowotną - identyfikatory pacjentów, numery dokumentacji medycznej (MRN) oraz numery Medicaid;
• informacje medyczne - dane dotyczące chorób i diagnoz, alergii, przyjmowanych leków, niepełnosprawności, wizyt oraz lekarzy, a także notatki dotyczące pacjentów;
• szczególnie wrażliwe dane - informacje dotyczące opieki hospicyjnej i chorób terminalnych, przyczyn śmierci, wyników sekcji zwłok, orientacji seksualnej oraz innych informacji dotyczących sytuacji osobistej;
• dane dotyczące ryzyka zdrowotnego - oceny prawdopodobieństwa wystąpienia określonych chorób, w tym prognozy dotyczące nowotworów przypisane do konkretnych pacjentów;
• dane dotyczące recept i rozliczeń - informacje o zamówieniach leków, fakturach i rozliczeniach, adresach wysyłki, datach oraz numerach śledzenia przesyłek.

Vishing miał otworzyć drogę do danych

Cyberprzestępcy przekazali CyberInsiderowi, że wykorzystali vishing – socjotechnikę prowadzoną za pomocą rozmowy telefonicznej. 

Według ich relacji, celem było dwóch pracowników McKesson. Uzyskany w ten sposób dostęp miał pozwolić na dotarcie do instancji Salesforce i Snowflake oraz pobranie znajdujących się tam danych.

Są to na razie informacje pochodzące od samych atakujących. McKesson nie potwierdził publicznie tego konkretnego sposobu przeprowadzenia ataku.

Firma potwierdziła natomiast sam incydent. W stanowisku przekazanym CyberInsiderowi poinformowała, że bada zdarzenie dotyczące aplikacji podmiotów trzecich, w ramach którego doszło do nieautoryzowanego dostępu i eksfiltracji danych. McKesson uruchomił procedury reagowania na incydenty i zaangażował zewnętrznych ekspertów ds. cyberbezpieczeństwa.

Ponad 55 mln dolarów za niepublikowanie danych

ShinyHunters żąda dokładnie 55 236 150 dolarów w zamian za nieujawnienie przejętych plików. Według informacji przekazanych CyberInsiderowi, McKesson nie odpowiedział dotąd na wiadomości grupy. Firma nie odniosła się publicznie do ewentualnych negocjacji z cyberprzestępcami.

Śledztwo nadal trwa, dlatego skala naruszenia nie została ostatecznie potwierdzona przez McKesson. Firma zapowiada publikowanie kolejnych informacji wraz z postępem prowadzonej analizy.