Cyberthreat.id - Sektor kesehatan telah menjadi target ratusan serangan siber selama tahun 2021. Penghitungan laporan pelanggaran data publik sejauh ini menunjukkan bahwa puluhan juta catatan perawatan kesehatan telah diekspos ke pihak yang tidak berwenang.

Seperti dilansir Bleeping Computer, sebagian besar pelanggaran data terbesar dihasilkan dari serangan ransomware dan sepuluh kasus menyumbang lebih dari setengah dari total catatan perawatan kesehatan yang terungkap pada tahun 2021.

Aturan pemberitahuan pelanggaran di bawah Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA), mengharuskan organisasi perawatan kesehatan untuk mengungkapkan pelanggaran jika itu memengaruhi lebih dari 500 penduduk negara bagian atau yurisdiksi.

Sepuluh peristiwa dunia maya teratas dengan dampak terluas yang tercantum di portal Kantor Hak Sipil Departemen Kesehatan dan Layanan Kemanusiaan (HHS) AS berasal dari insiden peretasan dan akun untuk mengekspos data hampir 19 juta orang.

Di bagian atas daftar yang dilaporkan tahun ini adalah insiden yang berdampak pada Florida Healthy Kids Corporation. Peretas yang mengeksploitasi kerentanan yang dibiarkan tidak ditambal selama tujuh tahun di platform hosting situs webnya memiliki akses ke data 3,5 juta orang.

Pelanggaran data terbesar kedua di sektor perawatan kesehatan berdampak pada 20/20 Eye Care Network di Florida, yang mengakibatkan terbukanya data pribadi lebih dari 3,2 juta orang.

Peretas mendapatkan akses ke bucket AWS S3 perusahaan dan menghapus informasinya. Gugatan class action diajukan terhadap 20/20 Eye Care Network.

Pelanggaran data penting lainnya berasal dari praktik kelompok dermatologi Forefront Dermatology, yang menemukan bahwa pihak yang tidak berwenang memiliki akses ke sistemnya selama seminggu.

Intrusi tersebut mengungkap informasi lebih dari 2,41 juta pasien, termasuk nama, alamat, tanggal lahir, ID anggota rencana asuransi kesehatan, dan rincian perawatan medis dan klinis.

Geng Ransomware menyerang

Pada 19 Februari 2021, NEC Networks (CaptureRx) menemukan bahwa sistemnya telah disusupi dua minggu sebelumnya dan para penyusup memiliki akses ke catatan pelanggan.

Penyelidikan kemudian menentukan bahwa itu adalah serangan ransomware yang memengaruhi data milik 1,65 juta orang.

Selanjutnya, data lebih dari 1,5 juta orang dikompromikan dalam serangan pada 4 Agustus terhadap divisi rumah sakit umum Kesehatan Eskenazi.

Para peretas telah berada di jaringan internal sejak 19 Mei, bersiap untuk mengenkripsi jaringan, meskipun mereka gagal menyelesaikan operasi, kata perusahaan itu.

Sementara pelaku ancaman tidak mengenkripsi data apa pun, mereka berhasil mencuri informasi pribadi dan kesehatan organisasi milik pasien.

Kroger Co. mengkonfirmasi pelanggaran data yang mengekspos catatan 1,47 juta orang. Insiden itu adalah bagian dari kampanye pemerasan dari geng ransomware Clop.

Akses ke data perusahaan dimungkinkan dengan memanfaatkan kerentanan dalam layanan File Transfer Appliance warisan Accellion yang digunakan oleh hingga 100 perusahaan.

Jaringan supermarket Kroger, juga operator farmasi, setuju untuk membayar $5 juta untuk mengakhiri klaim terhadapnya atas nama pelanggan dan karyawan yang informasi pribadi mereka terbuka.

Juga menjadi korban serangan ransomware, sistem kesehatan St. Joseph's/Candler mengumumkan bahwa mereka mendeteksi penyusupan pada 17 Juni 2021. Investigasi mengungkapkan bahwa peretas memiliki akses ke jaringan sejak 18 Desember 2020.

Sementara di jaringan, para penyerang memiliki akses ke data 1,4 juta pasien, termasuk alamat, tanggal lahir, nomor Jaminan Sosial, nomor SIM, informasi keuangan, ID anggota rencana asuransi kesehatan, dan informasi perawatan medis dan klinis.

Geng ransomware REvil melanggar sistem University Medical Center Southern Nevada pada pertengahan Juni yang menyimpan data 1,3 juta orang.

Data tersebut termasuk informasi identitas pribadi (PII) serta "informasi kesehatan tertentu yang dilindungi", mengungkapkan pemberitahuan insiden keamanan data dari organisasi.

American Anesthesiology memberi tahu pasien pada awal Januari 2021 bahwa Mednax Services, salah satu penyedia layanannya, telah mengalami insiden phishing yang mengakibatkan informasi pribadi diekspos ke pihak yang tidak berwenang.

Penyerang telah memperoleh akses ke sistem email Microsoft Office 365 mitra pada pertengahan Juni 2020 dan dapat mengakses informasi pribadi milik pasien Anestesiologi Amerika. Secara total, data 1,2 juta orang terpapar.

Terakhir dalam daftar sepuluh pelanggaran data terbesar yang dilaporkan sejauh ini pada tahun 2021 adalah Professional Business Systems, Inc., d/b/a Practicefirst Medical Management Solutions dan PBS Medcode Corp., (“Practicefirst”) - vendor untuk beberapa penyedia layanan kesehatan .

Insiden itu adalah serangan ransomware yang gagal dan diketahui pada akhir Desember 2020. Peretas tidak mengenkripsi data apa pun tetapi mereka menyalin file dari jaringan Practicefirst, mengungkap informasi pribadi lebih dari 1,2 juta pasien dan karyawan.

Lebih dari 50 insiden peretasan yang diungkapkan di portal HHS telah memengaruhi lebih dari 100.000 orang, menunjukkan bahwa organisasi di sektor perawatan kesehatan terus menjadi target yang menarik.

Menurut Jurnal HIPAA, hampir 45 juta catatan perawatan kesehatan telah diekspos atau dicuri dalam pelanggaran yang dilaporkan pada tahun 2021. []