Datalek 13,3 miljoen Amerikaanse patiënten door gestolen inloggegevens

In dit artikel:

Bij een datalek bij de Amerikaanse IT-dienstverlener PJ&A zijn de persoonlijke en medische gegevens van 13,3 miljoen patiënten gestolen. PJ&A verzorgde onder meer facturatie, medische transcripties en administratie voor zorgorganisaties en had daardoor toegang tot gegevens zoals onderzoeksuitslagen, medicijngebruik en behandelplannen.

Aanvallers logden begin 2023 in op de externe desktopomgeving met gestolen inloggegevens van een medewerker. Omdat multifactorauthenticatie ontbrak, kregen zij toegang tot interne systemen en verplaatsten zij zich lateraal door het netwerk. Uiteindelijk bereikten ze onder meer een niet-versleutelde databaseback-up en andere bestanden met patiëntinformatie.

Een monitoringssysteem signaleerde de aanval aanvankelijk, maar was verkeerd geconfigureerd. Daardoor werden beveiligingsmedewerkers niet gewaarschuwd. Een verzoek uit 2022 om zulke meldingen in te stellen was niet uitgevoerd. PJ&A ontdekte de aanval pas twee maanden later, toen de aanvallers losgeld eisten voor het verwijderen van de gegevens.

Na onderzoek stelden meerdere Amerikaanse staten dat de patiëntgegevens onvoldoende waren beveiligd. PJ&A is inmiddels failliet, maar de bedrijven binnen de groep hebben een schikking getroffen. Zij betalen gezamenlijk 300.000 dollar en moeten hun beveiliging verbeteren. Bij het niet naleven daarvan kan nog 9,7 miljoen dollar worden opgelegd.