Sensible Daten bei Datenpanne von Nutex Health offengelegt

Was ist passiert

Nutex Health Inc. (NASDAQ: NUTX), ein in Houston, Texas, ansässiges Unternehmen für Gesundheitsmanagement und -betrieb, hat öffentlich bekannt gegeben, dass es Opfer einer Datenpanne geworden ist, die seine Cybersicherheitsabwehr umgangen hat. In einer formellen Einreichung bei der US-Börsenaufsichtsbehörde (SEC) teilte das Unternehmen mit, dass es kürzlich einen unbefugten Zugriff auf sein Unternehmensnetzwerk festgestellt hat. Diese Entwicklung wirft ernsthafte Bedenken hinsichtlich der Betriebssicherheit des Unternehmens und des Schutzes der persönlichen Daten der Tausenden von Menschen auf, die es betreut.

Nutex Health betreibt ein breites Netzwerk von Gesundheitseinrichtungen, darunter Mikro-Krankenhäuser, Spezialkliniken und ambulante Abteilungen. Der Angriff auf eine solche Organisation unterstreicht, auf welch wertvolle und sensible Daten es die Angreifer abgesehen haben. In der SEC-Meldung, bekannt als Form 8-K, bestätigte das Unternehmen, dass die Angreifer Zugriff auf Dateien erlangten, die auf einigen seiner Server gespeichert waren, und diese Dateien aus dem Netzwerk kopierten oder „exfiltrierten“. Dies bedeutet, dass die Daten nicht mehr unter der alleinigen Kontrolle von Nutex Health stehen und sich nun in den Händen böswilliger Akteure befinden.

Ein klarer Zeitplan, wann der Vorfall stattfand oder wie lange er andauerte, wurde noch nicht veröffentlicht. Die Formulierung „kürzlich festgestellt“ deutet jedoch darauf hin, dass die Sicherheitsverletzung erst entdeckt wurde oder möglicherweise noch andauert. Bei Cybersicherheitsvorfällen ist bekannt, dass Angreifer wochen- oder sogar monatelang in einem Netzwerk verbleiben können, bevor sie entdeckt werden. In dieser Zeit können sie Systemschwachstellen analysieren, die wertvollsten Daten ins Visier nehmen und organisierten Datendiebstahl betreiben.

Welche Daten wurden kompromittiert

Nutex Health gab an, eine umfassende Untersuchung eingeleitet zu haben, um die genaue Art und den Umfang der gestohlenen Daten zu ermitteln. Erste Einschätzungen deuten jedoch darauf hin, dass die gefährdeten Informationskategorien sehr umfangreich und äußerst sensibel sind. Laut der Offenlegung des Unternehmens umfassen die möglicherweise exfiltrierten Daten:

• Patienteninformationen: Diese Kategorie ist potenziell die besorgniserregendste. Sie könnte Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Diagnosen, Behandlungsverläufe, Versicherungsinformationen und andere geschützte Gesundheitsinformationen (PHI) umfassen. Solche Daten werden von Cyberkriminellen auf dem Schwarzmarkt zu hohen Preisen für Identitätsdiebstahl, Versicherungsbetrug und gezielte Betrügereien verkauft.
• Mitarbeiterinformationen: Auch die persönlichen und finanziellen Daten der Mitarbeiter des Unternehmens sind gefährdet. Dies könnte Gehaltsinformationen, Bankverbindungen, Sozialversicherungsnummern und andere personenbezogene Daten umfassen. Diese Daten könnten zu direktem Finanzbetrug gegen Mitarbeiter führen.
• Anbieterinformationen: Informationen von Ärzten, Kliniken und anderen Gesundheitsdienstleistern, die mit Nutex Health zusammenarbeiten, könnten ebenfalls gestohlen worden sein. Dies könnte Details zu Berufszulassungen, Geschäftsverträgen und finanziellen Vereinbarungen beinhalten.
• Geschäfts- und Finanzdaten: Vertrauliche Informationen über die internen Abläufe, die finanzielle Lage und die strategischen Pläne des Unternehmens könnten in die Hände der Angreifer gefallen sein. Dies könnte den Wettbewerbsvorteil des Unternehmens schwächen und das Risiko von Wirtschaftsspionage erhöhen.
• Geistiges Eigentum: Daten im Zusammenhang mit proprietären medizinischen Verfahren, Managementsystemen oder technologischen Innovationen, die von Nutex Health entwickelt wurden, könnten ebenfalls gefährdet sein. Ein solcher Diebstahl könnte das langfristige Wachstumspotenzial des Unternehmens negativ beeinflussen.

Während die Untersuchung andauert, arbeitet das Unternehmen daran, zu klären, welche Datenkategorien in welchem Umfang betroffen sind. Die Tatsache, dass ein so großer Pool potenzieller Daten gefährdet ist, unterstreicht jedoch die Schwere der Sicherheitsverletzung.

Wie geschah der Angriff

Nutex Health hat keine technischen Details darüber mitgeteilt, wie die Angreifer in seine Systeme eingedrungen sind. Die ausgenutzte Schwachstelle, der verwendete Angriffsvektor und die möglicherweise dahinterstehende Cyberkriminalitätsgruppe sind noch unbekannt. Der Quellartikel stellt fest, dass sich bisher keine bekannte Cyberkriminalitätsgruppe zu dem Angriff bekannt hat. Der Hinweis des Unternehmens, dass die Daten veröffentlicht werden könnten, lässt jedoch an die Taktik von Ransomware-Gruppen denken. Diese Gruppen stehlen oft Daten, bevor sie sie verschlüsseln, und drohen mit der Veröffentlichung der Daten, wenn kein Lösegeld gezahlt wird.

Angriffe im Gesundheitssektor werden häufig mit gängigen Methoden wie Phishing-E-Mails, der Ausnutzung von Software-Schwachstellen oder schwachen Passwörtern bei Fernzugriffssystemen durchgeführt. Ein typisches Angriffsszenario beinhaltet, dass Angreifer einen ersten Zugang zum Netzwerk erhalten und sich dann lateral bewegen, um Server zu erreichen und Daten zu exfiltrieren. Die laufende Untersuchung von Nutex Health zielt darauf ab, diese Details zu klären.

Wer ist betroffen

Die potenziellen Opfer dieser Datenpanne umfassen eine sehr breite Zielgruppe. An erster Stelle stehen die Patienten, die in mit Nutex Health verbundenen Krankenhäusern und Kliniken behandelt wurden oder werden. Ihre privatesten Gesundheits- und Identitätsinformationen sind gefährdet. Zweitens sind die aktuellen und ehemaligen Mitarbeiter des Unternehmens dem Risiko ausgesetzt, dass ihre persönlichen Daten missbraucht werden. Schließlich könnten auch Anbieter und Geschäftspartner, die in einer Geschäftsbeziehung mit dem Unternehmen stehen, direkt oder indirekt betroffen sein. Die Gesamtzahl der betroffenen Personen wurde vom Unternehmen noch nicht bekannt gegeben, aber es ist bekannt, dass ähnliche Sicherheitsverletzungen im Gesundheitssektor Hunderttausende oder sogar Millionen von Menschen betreffen können.

Was Sie tun können

Obwohl Nutex Health noch keine offizielle Benachrichtigung oder Anleitung herausgegeben hat, gibt es mehrere proaktive Schritte, die potenziell betroffene Personen in solchen Situationen unternehmen können:

• Überprüfen Sie Ihre Kontoauszüge: Kontrollieren Sie sorgfältig Ihre Bank- und Kreditkartenabrechnungen sowie die Leistungsabrechnungen (Explanation of Benefits - EOB) Ihrer Versicherungsgesellschaft. Melden Sie unbekannte oder verdächtige Transaktionen unverzüglich dem jeweiligen Institut.
• Seien Sie wachsam gegenüber Phishing-Versuchen: Cyberkriminelle können die gestohlenen Informationen nutzen, um überzeugende und personalisierte Phishing-E-Mails, Textnachrichten (Smishing) oder Anrufe (Vishing) zu erstellen. Vertrauen Sie keiner Nachricht, die angeblich von Nutex Health stammt und nach persönlichen Informationen oder Passwörtern fragt.
• Überwachen Sie Ihre Kreditauskünfte: Fordern Sie regelmäßig Ihre Kreditauskünfte von den drei großen Auskunfteien (in den USA: Equifax, Experian, TransUnion) an und prüfen Sie auf verdächtige Konten oder Kreditanträge, die in Ihrem Namen eröffnet wurden. Erwägen Sie bei Bedarf, einen Betrugsalarm oder eine Kreditsperre einzurichten.
• Warten Sie auf offizielle Mitteilungen: Sobald Nutex Health seine Untersuchung abgeschlossen hat, ist es gesetzlich verpflichtet, eine offizielle Benachrichtigung an die betroffenen Personen herauszugeben. Seien Sie skeptisch gegenüber Informationen aus anderen Quellen als der offiziellen Website des Unternehmens und seriösen Nachrichtenagenturen.

Was das Unternehmen sagt

In seiner Einreichung bei der SEC bestätigte Nutex Health den Vorfall, verwendete jedoch eine Sprache, die darauf abzielte, die Investoren zu beruhigen. Das Unternehmen erklärte in seinem Form 8-K-Bericht: „Zum Zeitpunkt dieses Berichts ist das Unternehmen nicht der Ansicht, dass der unbefugte Zugriff eine wesentliche Auswirkung auf die Geschäftsstrategie, den Betrieb, die Finanzlage oder die Betriebsergebnisse des Unternehmens hatte oder vernünftigerweise wahrscheinlich haben wird.“ Dies ist eine übliche Unternehmensformulierung, die oft verwendet wird, um die rechtliche Haftung zu begrenzen und eine Marktpanik zu verhindern.

In derselben Einreichung merkte das Unternehmen jedoch auch an, dass der Angreifer die gestohlenen Informationen möglicherweise veröffentlichen oder offenlegen könnte. Diese scheinbar widersprüchliche Aussage deutet darauf hin, dass das Unternehmen zwar keinen größeren finanziellen Schlag erwartet, sich aber der ernsten Risiken für die Personen bewusst ist, deren Daten gestohlen wurden. Nutex Health fügte hinzu, dass es mit Cybersicherheitsexperten zusammenarbeitet, um den Vorfall zu untersuchen und seine Systeme weiter zu sichern.

Quelle

https://www.securityweek.com/sensitive-information-exposed-in-nutex-health-data-breach/