Чувствителната им медицинска и здравна информация на милиони американци беше открадната, след като хакери се възползваха от уязвимост от нулев ден в широко използваните системи за прехвърляне на файлове MOVEit, управлявани от технологичния гигант IBM.
Департаментът за политика и финансиране на здравеопазването в Колорадо (HCPF), който отговаря за администрирането на програмата Medicaid на Колорадо, потвърдено в петък, че е станал жертва на масовите хакове на MOVEit, разкриващи данните на повече от 4 милиона пациенти.
В уведомление за нарушение на данните до засегнатите, HCPF на Колорадо каза, че данните са били компрометирани, защото IBM, един от доставчиците на щата, използва приложението MOVEit за преместване на файлове с данни на HCPF в нормалния ход на бизнеса.
В писмото се посочва, че въпреки че нито една HCPF или правителствена система на щата Колорадо не са били засегнати от този проблем, някои HCPF файлове в приложението MOVEit, използвано от IBM, са били достъпни от неоторизиран участник.
Тези файлове включват пълните имена на пациентите, датите на раждане, домашните адреси, номерата на социалното осигуряване, идентификационните номера на Medicaid и Medicare, информация за доходите, клинични и медицински данни (включително лабораторни резултати и лекарства) и информация за здравно осигуряване.
HCPF казва, че около 4,1 милиона души са засегнати.
IBM все още не е потвърдила публично, че е била засегната от масовите хакове на MOVEit, а говорител на IBM не е отговорил на искане за коментар от Gadget Insider.
Пробивът в системите MOVEit на IBM също засегна Министерството на социалните услуги (DSS) на Мисури, въпреки че броят на засегнатите лица все още не е известен. Повече от 6 милиона души живеят в щата Мисури.
В уведомление за нарушение на данните публикувано миналата седмица, DSS на Мисури каза: IBM е доставчик, който предоставя услуги на DSS, държавната агенция, която предоставя услуги на Medicaid на отговарящи на условията жители на Мисури. Уязвимостта на данните не е засегнала пряко DSS системи, но е засегнала данните, принадлежащи на DSS.
DSS казва, че данните, до които има достъп, може да включват име на физическо лице, клиентски номер на отдел, дата на раждане, евентуален статут на допустимост или покритие и информация за медицински искове.
Нито HCPF на Колорадо, нито DSS на Мисури са включени в сайта за изтичане на информация в тъмната мрежа на бандата Clop за рансъмуер, която пое отговорност за масовите хакове. В съобщение на сайта свързаната с Русия група твърди, че нямаме никакви правителствени данни.
Новината за последното нарушение на Колорадо идва само няколко дни след като Министерството на висшето образование на Колорадо заяви, че е имало инцидент с ransomware, при който хакери са получили достъп и копирали данни за 16 години от неговите системи. Държавният университет в Колорадо също потвърди миналия месец, че е претърпял нарушение на данните, свързано с MOVEit, което е засегнало десетки хиляди студенти и академичен персонал.
Междувременно PH Tech, компания, която предоставя услуги за управление на данни на американски здравни застрахователи, потвърди, че също е била засегната от хаковете на MOVEit, HCA Healthcare, които включват имената, адресите и подробностите за срещи на 11,2 милиона души в пропуск в сигурността, несвързан с MOVEit.
Масовите хакове на MOVEit съдържат ценен урок за софтуерната индустрия