Datenleck bei SickKids enthüllt Mitarbeiterinformationen

Was ist passiert

Das Hospital for Sick Children (SickKids), eines der führenden pädiatrischen Krankenhäuser Kanadas, hat einen "Cybersicherheitsvorfall" gemeldet, der zu einem Datenleck mit sensiblen Informationen führte. Laut der am 21. August 2026 veröffentlichten Mitteilung betrifft der Vorfall aktuelle und ehemalige Mitarbeiter des Krankenhauses sowie Personen, die sich um eine Stelle bei der Einrichtung beworben haben. Die Krankenhausverwaltung gab an, dass der Vorfall auf eine Sicherheitslücke in einer Softwareanwendung eines Drittanbieters zurückzuführen sei.

Einer der kritischsten Punkte der Erklärung war, dass das Datenleck die klinischen Systeme oder Patientenakten nicht beeinträchtigt hat. Dies bedeutet, dass die Patientenversorgung ununterbrochen und sicher fortgesetzt wurde. Als Vorsichtsmaßnahme wurde die öffentliche Karriere-Website des Krankenhauses jedoch vorübergehend offline genommen und nach Sicherheitsüberprüfungen wiederhergestellt.

Welche Daten wurden kompromittiert

SickKids hat noch nicht im Detail dargelegt, welche genauen Kategorien von persönlichen Informationen bei dem Leck kompromittiert wurden. Während die Untersuchung andauert, bleibt unklar, welche Arten von Daten in unbefugte Hände gelangt sind und wie viele Personen betroffen sind. Das Krankenhaus hat zugesagt, die Betroffenen direkt zu benachrichtigen, sobald ihre Identität bestätigt ist, da die Überprüfung der betroffenen Informationen noch andauert.

Bewerbungsportale gelten als äußerst wertvolle Ziele für Cyberkriminelle. Bewerber laden auf diesen Plattformen oft umfassende persönliche Informationen hoch, darunter vollständige Namen, Privatadressen, Telefonnummern, E-Mail-Adressen, detaillierte berufliche Werdegänge und in einigen Rechtsordnungen auch staatliche Identifikationsnummern. Diese Art von Daten kann direkt für Identitätsdiebstahl und Betrug verwendet werden. Darüber hinaus ist es ein plausibles Szenario, dass Angreifer diese Informationen nutzen, um äußerst überzeugende Social-Engineering- und Phishing-Angriffe gegen Krankenhauspersonal zu starten.

Wie geschah der Angriff

Das Krankenhaus führte das Datenleck auf eine Schwachstelle in einer Softwareanwendung eines Drittanbieters zurück, die sowohl von SickKids als auch von vielen anderen Organisationen genutzt wird. Diese Formulierung deutet darauf hin, dass der Angriff möglicherweise nicht nur auf SickKids abzielte, sondern Teil einer breiter angelegten Kampagne sein könnte, die verschiedene Einrichtungen betrifft, die dieselbe Software verwenden.

SickKids hat jedoch weder den Namen der Software oder ihres Anbieters noch den CVE-Code (Common Vulnerabilities and Exposures) der Schwachstelle oder technische Details des Angriffs veröffentlicht. Es wurde berichtet, dass die Einrichtung nach Entdeckung des Vorfalls eine umfassende Untersuchung mit Unterstützung externer Cybersicherheitsexperten eingeleitet hat.

Wer ist betroffen

Nach den ersten Ergebnissen der Untersuchung sind die potenziell vom Datenleck betroffenen Gruppen:

• Aktuelle und ehemalige Mitarbeiter des SickKids-Krankenhauses
• Aktuelle und ehemalige Mitarbeiter von Boomerang, einer zu SickKids gehörenden Kinderklinik
• Aktuelle und ehemalige Mitarbeiter der SickKids Foundation
• Personen, die sich bei SickKids um eine Stelle beworben haben

Was Sie tun können

SickKids erklärte, dass es einen vorsichtigen Ansatz gewählt und alle potenziell von dem Vorfall Betroffenen alarmiert habe. Zur Unterstützung der Betroffenen kündigte das Krankenhaus an, 24 Monate lang kostenlose Kreditüberwachungs- und Identitätsschutzdienste anzubieten. Diese Dienste zielen darauf ab, frühzeitig vor Identitätsdiebstahl zu warnen und potenzielle finanzielle Schäden zu verhindern.

Wenn Sie zu einer dieser Gruppen gehören, sollten Sie die offiziellen Mitteilungen des Krankenhauses genau verfolgen. Es ist auch wichtig, auf verdächtige Konten oder finanzielle Aktivitäten in Ihrem Namen zu achten und bei verdächtigen E-Mails oder Nachrichten vorsichtig zu sein. Angreifer könnten die gestohlenen Informationen nutzen, um Phishing-Angriffe durchzuführen.

Was das Unternehmen sagt

In einer Medienerklärung betonte SickKids, dass es unmittelbar nach der Entdeckung des Vorfalls gehandelt habe. "Nachdem wir von dem Vorfall erfahren hatten, leiteten wir eine Untersuchung mit Hilfe externer Cybersicherheitsexperten ein. Die betroffene externe Karriere-Website wurde vorübergehend offline genommen und ist seitdem sicher wiederhergestellt", erklärte das Krankenhaus. Es wurde besonders betont, dass klinische Systeme und Patienteninformationen nicht betroffen waren und die Patientenversorgung wie gewohnt fortgesetzt wurde.

Dies ist nicht der erste Cybersicherheitsvorfall, mit dem SickKids in den letzten Jahren konfrontiert war. Im Dezember 2022 wurde das Krankenhaus Ziel der Ransomware-Bande LockBit. Dieser Angriff störte interne Systeme, Telefonleitungen und die Website, was zu Verzögerungen bei Labor- und Bildgebungsergebnissen führte. In einem seltenen Schritt entschuldigte sich die LockBit-Bande später öffentlich und erklärte, der verantwortliche Partner habe gegen die Regel verstoßen, keine medizinischen Einrichtungen anzugreifen, und stellte einen kostenlosen Entschlüssler zur Verfügung. Diese Geste kam jedoch erst, nachdem das Krankenhaus bereits fast zwei Wochen damit verbracht hatte, seine Systeme aus eigener Kraft wiederherzustellen. Im September 2023 gehörte SickKids zu den Gesundheitsdienstleistern in Ontario, die von einem Datenleck bei einer Drittorganisation betroffen waren, mit der es perinatale und kindergesundheitliche Daten teilt.

Quelle

https://www.bleepingcomputer.com/news/security/sickkids-data-breach-exposes-employee-and-job-applicant-info/