Canadese zorgverlener afgeperst met gestolen medische dossiers
Aanvallers hebben bij een Canadese zorgverlener de vertrouwelijke medische dossiers van tienduizenden, en mogelijk zelfs honderdduizenden, patiënten gestolen en dreigen die openbaar te maken tenzij er wordt betaald. Het gaat om namen, telefoonnummers, adresgegevens, geboortedata, medische aandoeningen, diagnoses, chirurgische ingrepen, zorgplannen, medicatie en creditcardgegevens. Ook zijn er gegevens van medewerkers buitgemaakt.
De data is gestolen bij CarePartners, dat in opdracht van de Canadese overheid thuiszorg levert. De zorgverlener maakte vorige maand bekend dat aanvallers toegang tot systemen met persoonlijke gezondheidsgegevens en financiële informatie van patiënten en medewerkers hadden verkregen. De gestolen informatie van de medewerkers bestaat uit belastingdocumenten, verzekeringsnummers, rekeninggegevens en wachtwoorden in platte tekst. Hoe de aanvallers toegang wisten te krijgen is niet bekendgemaakt, maar CarePartners stelt dat er kwetsbaarheden zijn verholpen.
De aanvallers hebben een deel van de gestolen data met CBC gedeeld. Het gaat om de gegevens van 80.000 patiënten. De aanvallers claimen dat het een subset betreft en dat ze de patiëntendossiers en bijbehorende gegevens van honderdduizenden patiënten sinds 2010 bezitten. Tegenover CBC stellen de aanvallers dat ze een vergoeding hebben gevraagd om CarePartners uit te leggen hoe ze de beveiligingsproblemen kunnen verhelpen en dat de data niet online wordt geplaatst.
Volgens de aanvallers ontdekten ze bij toeval kwetsbare software op het netwerk van CarePartners die al twee jaar niet was geüpdatet. Via deze kwetsbaarheden en zwakke wachtwoorden wisten de aanvallers naar eigen zeggen honderden gigabytes aan data te stelen zonder dat dit werd opgemerkt. "Dit datalek raakt honderdduizenden Canadezen en was geheel te voorkomen. Geen van de gegevens die we hebben was versleuteld", aldus een verklaring van de aanvallers.
De zorgverlener wilde geen vragen over het losgeld beantwoorden, maar stelt dat het datalek maximaal 237.000 patiënten kan raken waarvan CarePartners de gegevens heeft verzameld. Of en wanneer de gegevens online verschijnen is nog onduidelijk.
Inderdaad, werkelijk dreigen de data online te plaatsen zou nog effectiever zijn. Maar dit werkt ook al bestens.
Boeiuh als je een zwarte hoed draagt en simpelweg geld wil verdienen. Vaak is het ook nog zo dat als je wel een normale melding maakt er niks mee gedaan wordt of men met rechtzaken gaat dreigen.
Het blijft een feit dat veel bedrijven niet willen investeren in een basis beveiliging. Tel daar bij op dat steeds meer gekoppeld is en dan moet het een keer fout gaan.
Boeiuh als je een zwarte hoed draagt en simpelweg geld wil verdienen.
En als je het over het hollywood-en-media spraakgebruik hebt, nou, noem je je graag een boeman van de interwebse? Lijkt me ook al niet constructief.
"Wat?!? Jij hebt mijn mooie software kapotgemaakt!?! BOETEN ZUL JE!!!" zegt de directeur van het softwarebedrijf.
Als je het zo bekijkt is het ineens heel goed te begrijpen waarom er toch iedere keer met die rechtszaken gesmeten wordt en wat voor een ontzettend gebroddel het zogenaamde "ethische" computer security gajes neerzet. Nou, professioneel hoor.
We wisten heel goed of hadden zeker kunnen weten dat wat we deden niet houdbaar was, en het enige wat er mondjesmaat gedaan werd was ontzettende cowboys inhuren die zichzelf "hacker" noemden en onderling niet konden stoppen met bekvechten wie er nou "ethisch" was en wat voor kleur cowboyhoed daar bij hoorde, maar eigenlijk nooit echt verder kwamen dan wat we onder de benaming s'kiddie verstaan. Gepruts, dus.
En zoals we hier vandaag nog maar eens kunnen zien, dit is "state of the art", "best current industry practice", en kennelijk gewoon geaccepteerd gedrag. Het security wereldje in een notedop.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.