Phreesia, firma oferująca oprogramowanie SaaS dla sektora opieki zdrowotnej, poinformowała, że w wyniku cyberataku na jej spółkę zależną ConnectOnCall doszło do ujawnienia wrażliwych danych zdrowotnych i osobowych. Zdarzenie miało miejsce między 16 lutego 2024 r. a 12 maja 2024 r., a poszkodowanych jest dokładnie 914 138 pacjentów.
Co się wydarzyło?
ConnectOnCall to telemedyczna platforma obsługująca połączenia poza godzinami pracy, która automatycznie rejestruje komunikację między pacjentami a świadczeniodawcami. 12 maja 2024 r. firma zidentyfikowała niepokojącą aktywność w systemie i podjęła natychmiastowe działania w celu ochrony środowiska.
Zewnętrzni eksperci ds. cyberbezpieczeństwa oraz organy ścigania zostali zaangażowani, aby zbadać szczegóły naruszenia. Analiza wykazała, że przez niemal trzy miesiące nieupoważniona strona trzecia miała dostęp do systemu, co doprowadziło do wycieku wrażliwych danych.
Zakres ujawnionych informacji
Podczas incydentu do wycieku doszły dane, które były częścią komunikacji między pacjentami a lekarzami. W ujawnionych informacjach znalazły się między innymi:
Imiona i nazwiska,
Numery telefonów,
Numery dokumentacji medycznej,
Daty urodzenia,
Dane dotyczące stanu zdrowia, leczenia lub przepisanych leków.
W niektórych przypadkach mogło również dojść do wycieku numerów ubezpieczenia społecznego, co dodatkowo zwiększa ryzyko dla poszkodowanych pacjentów.
Działania podjęte przez Phreesia
W odpowiedzi na incydent Phreesia natychmiast odłączyła ConnectOnCall, przenosząc systemy do nowego, bezpieczniejszego środowiska. Firma zapewnia, że platforma ta działa niezależnie od innych jej usług, takich jak narzędzie do przyjmowania pacjentów. Jak dotąd nie ma dowodów na to, by pozostałe systemy Phreesia zostały naruszone.
Przedstawiciele firmy zaznaczyli, że rozumieją kluczowe znaczenie usługi ConnectOnCall dla klientów i zobowiązali się do jak najszybszego przywrócenia pełnej funkcjonalności.
Zalecenia dla pacjentów
Choć Phreesia nie posiada dowodów na niewłaściwe wykorzystanie ujawnionych danych, firma zaleca wszystkim poszkodowanym szczególną ostrożność. Pacjenci powinni monitorować swoje konta, raportować podejrzenia oszustwa instytucjom finansowym oraz ubezpieczycielom, a także rozważyć ochronę przed kradzieżą tożsamości.
