Атака на медицинскую SaaS-компанию ConnectOnCall привела к утечке данных 910 000 человек

[admin]

SaaS-компания Phreesia, работающая в сфере здравоохранения, сообщила об утечке личных и медицинских данных 910 000 человек. Информация попала в руки злоумышленников в результате майского взлома ее дочерней компании ConnectOnCall.

ConnectOnCall представляет собой платформу для телемедицины и службу круглосуточного приема обращений с автоматизированным отслеживанием звонков пациентов для медицинских учреждений.

«12 мая 2024 года ConnectOnCall стало известно о проблеме, и она немедленно начала расследование, а также предприняла меры по защите и обеспечению общей безопасности своей среды, — гласит официальное заявление. — В ходе расследования выяснилось, что в период с 16 февраля 2024 года по 12 мая 2024 года неизвестная третья сторона имела доступ к ConnectOnCall и данным в приложении, включая некоторую информацию о коммуникациях между провайдером и пациентом».

Обнаружив утечку, представители Phreesia уведомили об инциденте правоохранительные органы и привлекли к расследованию сторонних специалистов по кибербезопасности. Также Phreesia отключила ConnectOnCall и до сих пор работает над восстановлением систем в новой, более безопасной среде. Отдельно подчеркивается, что другие системы и сервисы Phreesia не пострадали.

Хотя в заявлении не приводится общее число пострадавших, ConnectOnCall уведомила Министерство здравоохранения и социальных служб США, что в результате утечки была затронута конфиденциальная медицинская информация 914 138 пациентов.

Среди затронутых утечкой была информация, которой пациенты обменивались с ConnectOnCall, включая имена и номера телефонов. Также могли быть раскрыты номера медицинских карт, даты рождения, информация о состоянии здоровья, лечении и рецептах, а в некоторых случаях и номера социального страхования пострадавших.

Теперь в Phreesia рекомендуют пострадавшим сообщать о любой подозрительной активности и мошенничестве своим страховщикам, медицинским страховым компаниям и финансовым учреждениям. При этом отмечается, что у компании нет доказательств того, что утекшие персональные данные уже могут использоваться злоумышленниками.