In diesem Monat haben möglicherweise mehr als 114.000 Personen personenbezogene Daten und geschützte Gesundheitsinformationen durch diese Vorfälle erhalten, während ein E-Mail-Marketing-Hack eine neue Quelle für Phishing-Angriffe darstellt.
Mscripts der Medikationseinhaltungsplattform wurden verletzt
Am 17. Januar meldete mscripts, eine Cloud-basierte mobile Apothekenplattform, die sich auf Lösungen zur Patientenbindung und Medikamenteneinhaltung konzentriert, dem US-Gesundheitsministerium unbefugten Zugriff/Offenlegung, die geschützte Gesundheitsinformationen von 66.372 Personen betraf, so das Amt für Bürgerrechtsfälle unter Untersuchungsliste.
Die in San Francisco ansässige Plattform, die Cardinal Health aus Dublin, Ohio, gehört, verwendet interaktives SMS-Messaging und markengeschützte mobile Apps, um Dosierungs- und Nachfüllerinnerungen und andere Verwaltungsfunktionen für Verschreibungen bereitzustellen.
Es hat Partnerschaften im gesamten Gesundheitsbereich und zu den Kunden zählen Einzelhändler wie Kmart und Wegmans sowie Anbieter wie Intermountain Healthcare, Banner Health und das Henry Ford Health System.
Mscripts und Cardinal Health haben keine Hinweise auf Datenschutzverletzungen auf ihren Websites veröffentlicht.
Die Datenschutzrichtlinie von mscripts auf der Website von Henry Ford weist darauf hin, dass sowohl PII als auch PHI von mscripts von Benutzern und ihren Apotheken erfasst werden können.
Diligent Corporation gab bekannt, dass personenbezogene Daten kompromittiert und UCHealth-Daten offengelegt wurden
Laut einer Ankündigung von UCHealth, die am 17. Januar auf seiner Website veröffentlicht wurde, „bietet Diligent gehostete Dienste für UCHealth und hat UCHealth gemeldet, dass auf die Software von Diligent zugegriffen und Anhänge einschließlich UCHealth-Dateien heruntergeladen wurden.“
Der in Colorado ansässige Gesundheitsdienstleister stellte fest, dass elektronische Patientenakten und E-Mail-Systeme nicht Teil des Verstoßes waren, aber „einige Patienten-, Anbieter- oder Mitarbeiterdaten von UCHealth könnten in diesen Vorfall einbezogen worden sein“.
UCHealth berichtete OCR, dass laut der Agentur 48.879 Personen von dem Hacking-Vorfall betroffen waren.
Der medizinische Dienstleister sagte, dass die gestohlenen Daten enthalten sein könnten:
- Name.
- Die Anschrift.
- Geburtsdatum.
- Behandlungsbezogene Informationen.
- Sozialversicherungsnummern.
- Andere Finanzinformationen.
CloudSEK, der zweite Social-Engineering-Angriff von Mailchimp, meldet geleakte API-Schlüssel
Mailchimp gab auf seiner Website bekannt, dass es am 11. Januar durch einen zweiten Social-Engineering-Angriff auf das Unternehmen innerhalb von sechs Monaten festgestellt hatte, dass ein nicht autorisierter Akteur Verwaltungstools kompromittiert und auf 133 Konten zugegriffen und Kundendaten preisgegeben hatte.
Der E-Mail-Marketing-Dienstleister hat diese Konten vorübergehend gesperrt, um Benutzerdaten zu schützen.
Mailchimp wurde erstmals im April 2022 verletzt, und Angreifer konnten rund 300 Benutzerkonten einsehen und Publikumsdaten von 102 von ihnen erhalten, wie der Chief Information Security Officer des HHS-Cybersicherheitsprogramms berichtete.
Infolgedessen warnte HC3 Gesundheitsorganisationen vor Phishing-Kampagnen, die von der E-Mail-Marketing-Plattform genutzt wurden.
Obwohl es sich nicht um ein HIPAA-unterstütztes Unternehmen mit einer Geschäftspartnervereinbarung handelt, integrieren sich eine Reihe von Anwendungen zur Verwaltung medizinischer Praxen in Mailchimp, und eine Reihe von E-Mail-Marketing-Dienstleistern für Ärzte und Anbieter arbeiten mit Malchimp, Constant Contact und anderen E-Mail-Marketing-Plattformen.
Bei dem vorherigen Social-Engineering-Angriff im August gab Mailchimp an, dass es sich bei den 214 betroffenen Konten hauptsächlich um Kryptowährungs- und Finanzorganisationen handelte.
DigitalOcean, ein großer branchenübergreifender Cloud-Anbieter, einschließlich des Gesundheitswesens, bestätigte jedoch, dass seine Kunden von böswilligen Passwortzurücksetzungen betroffen waren, und der Anbieter hat E-Mail-Dienste von der Plattform weg migriert.
Außerdem veröffentlichte das BeVigil-Forschungsteam von CloudSEK einen Dezember-Bericht, wonach API-Schlüssel für Mailchimp zusammen mit Mailgun und Sendgrid geleakt worden seien, was Angreifern möglicherweise den Zugriff auf E-Mail-Konversationen und potenziell sensible Informationen ermöglicht.
„Ein API-Schlüsselleck in Mailchimp würde es einem Angreifer ermöglichen, Konversationen zu lesen, Kundeninformationen abzurufen und E-Mail-Listen mit mehreren Kampagnen offenzulegen [PII]mit einem MailChimp-Konto verbundene Anwendungen von Drittanbietern autorisieren, Promo-Codes manipulieren und eine gefälschte Kampagne starten und E-Mails im Namen des Unternehmens versenden“, heißt es in der Berichterstattung von Business Standard über den Bericht.
Andrea Fox ist Chefredakteurin von Healthcare IT News.
E-Mail: [email protected]
Healthcare IT News ist eine HIMSS-Publikation.
