[[440574]]

計劃生育協(xié)會洛杉磯分會(PPLA)的網(wǎng)站被黑客攻擊，網(wǎng)絡(luò)攻擊者拿走了至少40萬名患者的個人健康信息。

在一份提交給加利福尼亞州的數(shù)據(jù)泄露通知中，該組織表示，它在10月17日發(fā)現(xiàn)被黑客入侵，當(dāng)時它就將該系統(tǒng)進(jìn)行了下線。隨后通過調(diào)查確定，入侵者從10月9日開始就進(jìn)入了該網(wǎng)絡(luò)。在此期間，他們竊取了包含用戶地址、保險信息、出生日期的文件，以及最敏感的臨床信息，如診斷、治療程序和處方信息。

這些臨床數(shù)據(jù)是高度敏感的。計劃生育協(xié)會提供了各種性健康服務(wù)，包括年度婦科檢查、節(jié)育、宮頸癌篩查、產(chǎn)前護(hù)理、性教育等。

計劃生育協(xié)會發(fā)言人發(fā)布聲明，攻擊者還在系統(tǒng)內(nèi)安裝了勒索軟件，但他沒有提供有關(guān)攻擊是否已經(jīng)成功加密文件或該組織是否支付贖金等相關(guān)信息。

有政治動機(jī)?

安全研究人員通過電子郵件說，這些資料被竊取的用戶的信息，很有可能會被曝光，這就使得眾多女性處于一個非常被動的地位。醫(yī)療記錄的安全性從未有今天如此重要。我們只能希望這些信息不會被泄露出去。

雖然目前還不清楚這一事件攻擊者是否有政治動機(jī)，但該組織以前就曾遭受過黑客攻擊，2015年的一次網(wǎng)絡(luò)攻擊事件中，導(dǎo)致數(shù)百名員工的數(shù)據(jù)被竊取。

計劃生育協(xié)會執(zhí)行副總裁當(dāng)時說，計劃生育協(xié)會是這個國家最值得信賴的婦女保健提供者，而反墮胎的極端分子會不惜一切代價來阻止女性獲得她們所尋求的健康。

今年早些時候，該組織的華盛頓大都會分部披露了2020年的漏洞，網(wǎng)絡(luò)黑客盜取了病人和捐贈者的出生日期、醫(yī)療數(shù)據(jù)以及社會安全和財務(wù)信息。

病人要警惕后續(xù)的攻擊

竊取數(shù)據(jù)只是雙重勒索攻擊的一部分。在這種情況下，除非支付贖金，否則攻擊者會威脅要公開泄露的數(shù)據(jù)。這就會帶來一系列的安全問題。然而，研究人員指出，相關(guān)數(shù)據(jù)的多樣性使其很容易受到后續(xù)的攻擊。而對PPLA的病人來說，其影響可能是很大的。

安全研究人員說："此次針對計劃生育局的數(shù)據(jù)竊取程度已經(jīng)超出了一般威脅者對身份數(shù)據(jù)在暗網(wǎng)上轉(zhuǎn)售的需要。" 由于被盜的不僅是標(biāo)準(zhǔn)的身份信息，而且盜取的還是有醫(yī)療背景的程序數(shù)據(jù)，如果攻擊者惡意使用這些數(shù)據(jù)的話，那么造成的后果可想而知。

例如，攻擊者可能會采取一些社會工程學(xué)手段，如收集支付卡的釣魚郵件，要求病人確認(rèn)其賬單信息。身份盜竊和保險欺詐也是令人很關(guān)注的問題;而且一般總是會有病人被勒索和敲詐，甚至是遭到人身威脅。

該部門在聲明中說："我們建議患者及時審查其醫(yī)療服務(wù)提供者或醫(yī)療保險公司的報表，如果他們發(fā)現(xiàn)了他們沒有接受過的服務(wù)收費(fèi)，請立即與他們聯(lián)系。”

對計劃生育協(xié)會造成的影響

同時，PPLA也使自己陷入了困境，首先是品牌的聲譽(yù)受到損害。

如果該組織不能保證其最珍貴的數(shù)據(jù)(病人信息)的安全，患者個人怎么會相信他們所接受的醫(yī)療服務(wù)能夠得到保證呢?這也正是醫(yī)療機(jī)構(gòu)被要求遵守高標(biāo)準(zhǔn)的信息安全(HIPAA)的原因。如果PPLA被證明在應(yīng)用所要求的HIPAA安全和隱私規(guī)則方面有所疏忽，它可能要承擔(dān)民事甚至是刑事指控。

此外，僅僅因?yàn)橐粋€組織符合他們部門的強(qiáng)制性法律/標(biāo)準(zhǔn)(HIPAA/NIST/CMMC/等等)并不意味著他們就是安全的，在利用這些框架的同時，擁有專業(yè)的人員和技術(shù)，才能確保你的業(yè)務(wù)、客戶和其他敏感信息足夠安全。

網(wǎng)絡(luò)威脅研究員認(rèn)為，組織的事件響應(yīng)機(jī)制是很重要的。

網(wǎng)絡(luò)安全設(shè)備不可能阻止所有的攻擊者，所以安全團(tuán)隊(duì)必須要時刻關(guān)注任何可能會發(fā)生的漏洞。這就是為什么事件響應(yīng)機(jī)制是至關(guān)重要的。這些響應(yīng)機(jī)制不僅僅和安全團(tuán)隊(duì)有關(guān)，還和整個組織的所有的利益相關(guān)者有關(guān)。這些計劃應(yīng)該及時的實(shí)踐起來，并且及時去更新它。

安全專家也指出，僅做公司的周邊防御是不夠的。特別是當(dāng)涉及到敏感數(shù)據(jù)時，在傳輸過程中對數(shù)據(jù)進(jìn)行加密對于防止網(wǎng)絡(luò)犯罪分子竊取數(shù)據(jù)是至關(guān)重要的。此外，最重要的是，組織應(yīng)該有一個不可修改的數(shù)據(jù)備份，這可以防止這些犯罪分子改變或刪除這些數(shù)據(jù)，并確保在發(fā)生攻擊時能夠及時恢復(fù)這些未受感染的備份副本。

研究人員總結(jié)說，在一般情況下，像計劃生育這樣的組織的工作應(yīng)該是艱難的。

計劃生育使得民眾產(chǎn)生了很多消極的情緒。隨著這些情緒的產(chǎn)生，該組織也就成為了眾矢之的。

本文翻譯自：https://threatpost.com/planned-parenthood-breach-attacks/176718/如若轉(zhuǎn)載，請注明原文地址。