جریمه ۱۰ میلیون دلاری شرکت خدمات فناوری اطلاعات سلامت در پی نشت گسترده داده‌ها

یک شرکت خدمات فناوری اطلاعات (IT) در حوزه سلامت و چندین شرکت وابسته به آن، برای تسویه پرونده تحقیقات مربوط به نشت داده‌های سال ۲۰۲۳ که دست‌کم ۱۳.۳ میلیون نفر را تحت تأثیر قرار داده است، با پرداخت تا سقف ۱۰ میلیون دلار و اجرای مجموعه‌ای از بهبودهای امنیتی موافقت کردند.

جزئیات نشت داده و تأثیر آن

این توافق که میان شرکت Perry Johnson & Associates و چهار شرکت وابسته به آن با دادستان‌های ایالت‌های نیویورک، نیوجرسی، کنتیکت و میشیگان منعقد شده، ناشی از شکست‌های گسترده امنیتی و نقض استانداردهای HIPAA است. اطلاعات سرقت شده شامل موارد زیر است:

• نام، تاریخ تولد و آدرس
• شماره‌های تأمین اجتماعی (Social Security numbers)
• شماره پرونده‌های پزشکی و شماره حساب‌های بیمارستانی
• تشخیص‌های پزشکی، اطلاعات بیمه و تاریخ‌های درمان
• نتایج آزمایش‌های آزمایشگاهی و تشخیصی و نام داروها

ریشه‌های امنیتی و ضعف‌های شناسایی‌شده

تحقیقات نشان داد که این شرکت‌ها با چندین نقص بحرانی در زیرساخت‌های خود روبرو بودند که مسیر را برای مهاجمان هموار کرد. از جمله این موارد می‌توان به عدم استفاده از احراز هویت چندعاملی (MFA) برای دسترسی‌های از راه دور (Remote Access) و مدیریت ضعیف گذرواژه‌ها اشاره کرد. در یک مورد مشخص، ۹ حساب کاربری دارای گذرواژه‌های تقریباً یکسان بودند که تنها در رقم آخر با هم تفاوت داشتند.

علاوه بر این، نرم‌افزارهای مانیتورینگ امنیتی (Security Monitoring) فعالیت‌های مهاجمان را ثبت می‌کردند، اما به دلیل پیکربندی نادرست، هیچ هشداری (Alert) برای تیم‌های امنیتی ارسال نمی‌کردند. این نقص باعث شد که نفوذ از مارس ۲۰۲۳ تا مه ۲۰۲۳ بدون اطلاع سازمان ادامه یابد.

تحلیل روند حمله (Attack Vector)

مهاجمان در ابتدا از طریق استفاده از اعتبارنامه‌های (Credentials) سرقت شده یکی از کارکنان به شبکه دسترسی پیدا کردند. از آنجایی که اپلیکیشن مورد استفاده فاقد مکانیزم MFA بود، مهاجمان توانستند پس از ورود، عملیات شناسایی (Reconnaissance) را انجام دهند، گذرواژه‌های بیشتری را استخراج کنند، سطح دسترسی خود را ارتقا دهند (Privilege Escalation) و با حرکت عرضی (Lateral Movement) در سیستم‌های شرکت جابجا شوند تا در نهایت فایل‌های پایگاه داده حاوی اطلاعات حساس بیماران را سرقت کنند.

الزامات جدید امنیتی و اصلاحی

بر اساس این توافق، شرکت‌های مذکور موظف به اجرای اقدامات اصلاحی زیر هستند:

• پیاده‌سازی کنترل‌های دسترسی قوی‌تر و احراز هویت چندعاملی (MFA)
• استفاده از رمزنگاری (Encryption) پیشرفته و سیستم‌های هشدار خودکار
• انجام منظم ارزیابی‌های ریسک امنیتی و تست نفوذ (Penetration Testing)
• نظارت دقیق‌تر بر تامین‌کنندگان و پیمانکاران فرعی
• تحت نظارت قرار گرفتن توسط ارزیاب‌های امنیتی مستقل (Third-party assessments)