סיסמה של ספק, שרשרת כשלים ומידע רפואי רגיש
כיצד פרטי גישה ממחשב אישי, הרשאות מנהל והתראות שלא טופלו העמידו מידע רפואי בסיכון.
אנשים שהמידע שלהם נפגע
לפי התביעה שהגישה OAIC.[1]
מידע שנגנב לפי טענת הרשות
לפי ציר הזמן שפרסם הרגולטור.[2]
הוצאות בשנת הכספים 2024
לצד 46.4 מיליון דולר אוסטרלי בשנת הכספים 2023.[3]
האירוע בקצרה
אירוע דלף המידע של חברת ביטוחי הבריאות Medibank התפתח לדיון ציבורי ומשפטי נרחב על אחריות ארגון למידע רגיש. תיאור מסלול התקיפה בתיק נשען על טענות הרגולטור האוסטרלי בהליך משפטי, ואינו מוצג כפסק דין.
חברה המחזיקה מידע רגיש במיוחד
Medibank היא חברת ביטוחי בריאות אוסטרלית. לפי רשות הגנת הפרטיות האוסטרלית (OAIC), האירוע ב-2022 פגע במידע אישי ורפואי של כ-9.7 מיליון אנשים. לחשיפת מידע כזה עלולות להיות השלכות ארוכות טווח על הנפגעים.[1]
נקודת ההתחלה לפי הרגולטור
לפי הרשות, פרטי הגישה של עובד ספק נשמרו בפרופיל דפדפן אישי, הסתנכרנו למחשב האישי שלו ונגנבו ממנו באמצעות נוזקה.[2]
ציר זמן
- לפני 7 באוגוסט 2022
פרטי גישה מסתנכרנים למחשב אישי
לפי OAIC, פרטי חשבון מנהל של עובד ספק נשמרו בפרופיל דפדפן אישי והסתנכרנו למכשירו האישי.[2]
- אוגוסט 2022
גניבת פרטים והתחברות ל-VPN
לפי הרשות, נוזקה גנבה את פרטי הגישה. התוקפים בדקו אותם והתחברו ל-VPN שלא דרש אימות רב שלבי.[2]
- 24–25 באוגוסט 2022
ההתראות הראשונות
לפי טענת הרשות, מערכת זיהוי ותגובה בתחנות קצה (EDR) הפיקה התראות שלא טופלו ולא הועברו בזמן לגורמים המתאימים.[2]
- 11–13 באוקטובר 2022
- 23 בינואר 2024
אוסטרליה מזהה חשוד
הממשלה קישרה בפומבי את Aleksandr Ermakov לפגיעה ברשת Medibank והטילה עליו סנקציות.[4]
- 5 ביוני 2024
הגשת תביעה להטלת קנס אזרחי
OAIC פנתה לבית המשפט הפדרלי בטענה שהחברה לא נקטה אמצעים סבירים להגנת המידע.[1]
מה קרה טכנית
הגבול בין מכשיר ארגוני למכשיר אישי
לפי טענת הרשות, סנכרון הדפדפן העביר פרטי גישה ארגוניים למחשב אישי. כך נחשפו הפרטים לסיכון גם מחוץ לסביבת העבודה של הספק.[2]
חשבון מנהל וגישה מרחוק
לפי OAIC, פרטי הגישה אפשרו התחברות ל-VPN ללא אימות רב שלבי. הרשאות הניהול של החשבון הגדילו את הנזק האפשרי מגניבתו.[2]
התראה מחייבת טיפול
הרשות העלתה טענות גם על הטיפול בהתראות. התקנת מערכת הגנה לבדה אינה מספיקה אם התראותיה אינן נבדקות בזמן.[2]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
הוצאות שהחברה דיווחה עליהן בגין אירוע הסייבר.[3]
הוצאות בתחומי האבטחה, המשפט, כוח האדם ותחומים נוספים שנכללו בדוח. סכום זה נפרד מכל קנס אפשרי בהליך המשפטי.[3]
OAIC מציין סיכון לסחיטה, פגיעה רגשית, גניבת זהות ופשיעה פיננסית בעקבות חשיפת המידע.[1]
התוקפים וטענות האחריות
ממשלת אוסטרליה זיהתה אותו כמעורב במתקפה והטילה עליו סנקציות. ההודעה אינה פסק דין פלילי.[4]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
להסדיר שמירה ושימוש בפרטי גישה אצל ספקים
גישה של ספק צריכה לכלול מגבלות שמירה, סנכרון ושימוש בפרטי הזדהות, לצד הרשאות מצומצמות ובקרת מכשירים.
לתרגל את מסלול הטיפול בהתראה
כדאי למדוד מי מקבל התראה, מי אחראי להחליט ומה קורה כשההתראה אינה מטופלת בזמן.
לצמצם את המידע ואת משך השמירה
צמצום שמירת מידע רגיש שאינו נחוץ עוד עשוי להפחית את מספר הנפגעים ואת חומרת הנזק במקרה של דלף מידע.
מה עדיין אינו ידוע
- מסלול התקיפה המפורט כאן מיוחס לטענות OAIC כפי שהוגשו לבית המשפט; הליך רגולטורי אינו פסק דין.
- אין כאן סכום כולל סופי לכל עלויות האירוע, ואין להסיק שקנס מרבי אפשרי הוא קנס שהוטל.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
- 5
