Три дня доступа, 15 млн пациентов, 24 месяца покрытия

Против стоматологической страховой DentaQuest подан коллективный иск в федеральный окружной суд Массачусетса. О деле сообщил The Daily Hodl. Три числа в нём просятся встать рядом, а компания развела их по разным абзацам.

Доступ у злоумышленников был три дня, с 17 по 20 мая. Затронуты защищённые медицинские данные более чем 15 млн человек. Пострадавшим предлагают 24 месяца мониторинга личности.

“DentaQuest не соблюдала регуляторные, правовые, этические и отраслевые стандарты кибербезопасности и конфиденциальности медицинских записей, не приняла разумных мер защиты — таких как обучение сотрудников распознавать фишинговые письма, биометрическая или многофакторная аутентификация для пользователей и мониторинг необычной активности.”

— Исковое заявление Аманды Уитлоу, Федеральный окружной суд Массачусетса, в изложении The Daily Hodl

Источник цитаты: исковое заявление истца Аманды Уитлоу в изложении The Daily Hodl

Три дня, а закон разрешал до июля

На трёхдневном окне это в среднем по пять миллионов человек в сутки — значит, записи не читали по одной. Массовый доступ к базе страховой — это один повторённый запрос, и объём улова ограничен пропускной способностью канала, а не усилиями.

Компания говорит, что обнаружила активность 20 мая, в тот же день, когда она прекратилась, а уведомлять людей начала в июле.

Американский закон это допускает. Федеральное правило об уведомлении об утечках даёт организации до 60 дней с момента обнаружения — в этом случае срок истекал 19 июля. То есть уведомление в июле законно, и одновременно означает, что люди узнали о краже своих медицинских записей примерно через шесть-восемь недель.

Что нельзя перевыпустить

Состав украденного — та часть, которая переживёт любой иск.

• Имена, адреса и номера социального страхования.
• Номера участников программ, а также номера Medicaid и Medicare.
• Стоматологические и офтальмологические записи: диагнозы, лечение и данные о счетах.

Номер социального страхования выдаётся один раз и не меняется. Номер Medicaid годами опознаёт человека перед плательщиком. Диагноз постоянен по определению. Ничего из этого нельзя сменить после утечки так, как меняют пароль или номер карты.

Против этого предлагается два года мониторинга через Kroll. Мониторинг не удаляет данные оттуда, где они теперь лежат, — он сообщает постфактум, когда кто-то ими воспользовался. У утечки нет срока годности, а у покрытия есть.

Утечка данных DentaQuest: почему она выходит здесь

Криптовалюты в этом деле нет, и пишем мы о нём потому, что здесь начинается кража другого рода. Полное досье с номером социального страхования и медицинской историей — это сырьё для угона аккаунтов и перехвата номера телефона, а всплывает оно на биржах месяцами позже.

По той же причине мы разбирали утечку данных покупателей Trezor: то, что утекло у поставщика, возвращается адресным заходом к владельцу кошелька. Сегодня же мы писали про медицинские записи в руках ИИ-расшифровки — это те же данные в другом здании.

Иск заявляет о халатности, нарушении подразумеваемого договора, нарушении фидуциарных обязанностей, неосновательном обогащении и нарушении закона Иллинойса о защите персональных данных. DentaQuest сообщает, что уведомила правоохранительные органы и привлекла специалистов по кибербезопасности. Утверждения ещё не проверены судом.

Это не финансовый совет — только информация к размышлению.