Saskatchewan’ın Bilgi ve Gizlilik Komiseri, bilgisayar korsanlarının 7.000’den fazla kişinin tıbbi ve kişisel bilgilerini ele geçirdiğini söyledi.
Bu yılın başlarında meydana gelen ihlal, Saskatchewan’daki sağlık şirketi Innomar tarafından işletilen dört klinikte elektronik olarak saklanan hasta kayıtlarını etkiledi. Hack, valilikteki Enomar eczanelerini etkilemedi.
Özel klinikler laboratuvar testleri ve kan testleri sağlar ve Regina, Saskatoon, North Battleford ve Prince Albert’te bulunur.
Bilgi ve Gizlilikten Sorumlu Komisyon Üyesi (IPC) Ronald Kruzenieski, raporunda Innomar Strategies Inc. ve ana şirketi Cencora, 21 Şubat 2024’te sistemindeki verilerin saldırıya uğradığını öğrendi.
Sistemine ilk “yetkisiz erişim” bir ay önce gerçekleşti. 21 Şubat’tan sonra Inomar başka bir ihlal tespit etmediğini söyledi.
21 Nisan 2024’te Innomar, aşağıdaki bilgilerin sisteminden “çekildiğini” tespit etti:
- İsimler, adresler ve doğum tarihleri.
- Boy ve kilo.
- Telefon numarası ve e-posta adresleri.
- Hizmetlerin tarihleri ve yerleri.
- Teşhis/sağlık durumu.
- İlaçlar/reçeteler.
- Tıbbi kayıt numarası, hasta numaraları, sağlık sigortası/abone numarası.
- İmza, laboratuvar sonuçları ve tıbbi geçmiş.
İhlal 9 Mayıs 2024’te IPC’ye bildirildi.
Raporda, “Innomar, Saskatchewan’daki 7.293 kişinin ihlalden etkilendiğine inanılması da dahil olmak üzere, gizlilik ihlalini proaktif bir şekilde ofisime bildirdi” dedi.
Raporda Innomar’ın “ihlali kontrol altına almak için makul adımlar attığı” tespit edildi.
Kruzenski, ihlalden etkilenenlerin bilgilendirilmesinde gecikme yaşandığını söyledi. Enomar, 31 Mayıs 2024 tarihli mektuplarla insanları bilgilendirdi.
Kruzenski, “Enomar, veri sızıntısının 21 Şubat 2024’te keşfedilmesine rağmen kişisel sağlık bilgilerinin 10 Nisan 2024’e kadar sızdırıldığını belirlemediğini açıkladı” dedi.
Kruzenski, hacklemenin iki aşamada gerçekleştiğini söyledi.
“İlk olarak, tehdit aktörlerinin bir Cencora bağlı kuruluşunun sunucusuna erişim sağladığı görülüyor. Daha sonra, o zamanki ağ bölümleme düzenlemelerine göre, tehdit aktörleri, bağlı kuruluşun sistemlerinden yanal olarak hareket etmek için kimlik bilgileri elde edebildi.” .”
Bilgisayar korsanları daha sonra kişisel sağlık bilgilerini aldı.
Kruzenski, şirketin gelecekte benzer bir ihlalin meydana gelmesini önlemek için adımlar attığını söyledi.
Innomar, etkilenen kişilere iki yıl boyunca kredi izleme hizmetleri sağladı. IPC, bu sürenin en az 10 yıla uzatılmasını önerdi çünkü “veriler tehdit aktörleri tarafından kolayca saklanıyor ve bireylerin bilgileri herhangi bir zamanda, özellikle de bireylerin bunu yapmalarını beklemediği durumlarda açığa çıkabilir.”