یک مرکز پزشکی اطفال در ایالت‌های نیویورک و کنتیکت به همراه یکی از تامین‌کنندگان سابق خدمات فناوری اطلاعات (IT) خود، در پی حادثه هک سال ۲۰۲۴ که منجر به افشای اطلاعات نزدیک به ۹۰۰,۰۰۰ نفر شد، ملزم به پرداخت ۲.۷ میلیون دلار جریمه شدند.
بر اساس تحقیقات انجام شده، عاملان تهدید (Threat Actors) در اوت ۲۰۲۴ موفق شدند به شبکه شرکت Xtium نفوذ کنند. اگرچه این نفوذ ابتدا ۱۸ سیستم از مشتریان این شرکت را تحت تاثیر قرار داد، اما به دلیل ضعف‌های امنیتی در مرکز پزشکی Boston Children’s Health Physicians (BCHP)، این سازمان تنها موردی بود که دچار نشت داده (Data Breach) گسترده شد.
گروه باج‌افزار (Ransomware) BianLian مسئولیت این حمله را بر عهده گرفته است. هکرها موفق شدند سوابق حدود ۸۲۵,۰۰۰ نفر از ساکنان نیویورک و بیش از ۶۲,۰۰۰ نفر از ساکنان کنتیکت را، شامل شماره‌های تأمین اجتماعی (Social Security numbers) و اطلاعات پزشکی، سرقت کنند. همچنین اطلاعات حدود ۴,۰۰۰ کارمند این مرکز نیز به سرقت رفته است.
تحقیقات نشان داد که شرکت Xtium در به‌کارگیری اقدامات حفاظتی مناسب و اجرای استانداردهای رایج برای سیستم‌های IT خود کوتاهی کرده است. این شرکت فاقد قابلیت‌های کافی در زمینه ثبت وقایع (Logging) و نظارت (Monitoring) برای شناسایی سوءاستفاده از حساب‌های ابزار پشتیبانی از راه دور (Remote Support Tool) بود.
در مورد مرکز پزشکی BCHP نیز، مقامات اعلام کردند که این سازمان فاقد کنترل‌های دسترسی (Access Controls) مناسب، بخش‌بندی شبکه (Network Segmentation)، نظارت و مدیریت حساب‌های دارای امتیاز (Privileged Account Management) بوده است. علاوه بر این، مشخص شد که مدیران این مرکز بیش از دو سال از وجود یک آرشیو رمزنگاری نشده حاوی اطلاعات پرداخت بیش از یک میلیون بیمار آگاه بوده‌اند، اما این آرشیو تا زمان وقوع حمله، بدون محافظت باقی مانده بود.
در چارچوب این توافق، هر دو سازمان موظف به تقویت برنامه‌های امنیتی، انتصاب مدیران امنیتی واجد شرایط، بهبود کنترل‌های دسترسی و رمزنگاری، و انجام ارزیابی‌های امنیتی مستقل هستند.
