Et databrud hos Quest Diagnostics har berørt patientoplysninger, der opbevares i virksomhedens Quanum Lab Services Manager-system. Udbyderen af medicinske laboratorietests bekræftede uautoriseret adgang, men har endnu ikke fastslået, hvor mange patienter hændelsen omfatter.
Quest opdagede indtrængningen den 21. oktober og suspenderede straks adgangen til den berørte platform. Virksomhedens undersøgelse omfatter både patienternes helbredsoplysninger og personhenførbare oplysninger.
Virksomheden oplyser dog, at dens kerneaktiviteter fortsat er i drift. Andre systemer, som sundhedspersonale bruger til at bestille tests, er også upåvirkede.
Angribere fik adgang til patientjournaler gennem Quanum-platformen
Visse Quest-kunder bruger Quanum Lab Services Manager til at indsende laboratoriebestillinger, modtage resultater og gennemgå tidligere prøvesvar. Platformen forbinder kliniske laboratorier med lægepraksisser, klinikker og hospitaler.
I en indberetning til myndighederne den 21. oktober oplyste Quest, at virksomheden mente, at en uautoriseret part havde fået adgang til visse patientjournaler.
Efterforskerne forsøger dog stadig at fastslå præcis, hvilke oplysninger angriberne fik adgang til. Virksomheden har ikke bekræftet, om de kopierede data ud af systemet.
Det er også fortsat uklart, om ransomware spillede en rolle, eller hvornår indtrængningen begyndte.
Omfanget af databruddet hos Quest Diagnostics er fortsat uklart
Quest udfører mere end 200 millioner kliniske laboratorietests årligt og betjener cirka hver tredje voksne amerikaner hvert år.
Virksomhedens netværk omfatter mere end 7.700 adgangspunkter, herunder omkring 2.000 patientservicecentre i hele USA.
Denne omfattende rækkevidde gør hændelsen potentielt betydelig. Virksomhedens samlede patientgrundlag fastslår dog ikke, hvor mange personer der er berørt af dette databrud.
Quest oplyser, at virksomheden arbejder på at identificere de berørte patienter og sundhedsudbydere. Den vil udsende underretninger i overensstemmelse med gældende lovkrav.
Alternative bestillingsmuligheder er fortsat tilgængelige
Selvom Quest har sat adgangen til Quanum Lab Services Manager på pause, oplyser virksomheden, at dens kerneforretning fortsætter.
Virksomheden rapporterede ingen påvirkning af sine øvrige grænseflader til elektroniske patientjournalsystemer og laboratorieinformationssystemer. Derfor kan sundhedsudbydere fortsat bestille tests gennem disse kanaler.
For berørte kunder præsenterede Quest to midlertidige alternativer:
- Indsende papirbaserede laboratorierekvisitioner via fax i henhold til virksomhedens instruktioner.
- Bruge Quanum eLabs til bestillinger og resultater med deres eksisterende loginoplysninger.
Samtidig arbejder Quest på at genoprette det berørte system fuldstændigt.
Patientoplysninger kan bruges til overbevisende svindelforsøg
Medicinske oplysninger kan give kriminelle materiale til målrettet svindel. Eksempelvis kan en besked, der henviser til ægte oplysninger om behandling, virke mere troværdig end en generisk phishingmail.
Quest har dog endnu ikke identificeret de specifikke helbredsoplysninger, der er involveret i denne hændelse. Påstande om, at bestemte prøveresultater eller diagnoser er blevet lækket, ville derfor gå ud over de tilgængelige resultater.
I modsætning til en adgangskode kan en patients sygehistorie ikke blot ændres efter en eksponering. Derfor er omfanget af adgangen en vigtig del af den igangværende undersøgelse.
Eksterne specialister hjælper med undersøgelsen
Quest har underrettet føderale retshåndhævende myndigheder og inddraget eksterne cybersikkerhedsspecialister for at støtte virksomhedens håndtering af hændelsen.
Virksomheden oplyser, at den har inddæmmet truslen. Efterforskerne mangler dog stadig at fastslå det fulde omfang af adgangen, og om angriberne fjernede patientdata.
Quest oplyste også, at de foreløbige resultater tyder på, at hændelsen ikke er relateret til et problem med programmeringssproget PHP.
Yderligere opdateringer bør afklare, hvilke patientjournaler der er berørt, hvor mange patienter hændelsen omfatter, og hvordan underretningsprocessen vil foregå.
0 svar til “Databrud hos Quest Diagnostics eksponerer patientjournaler i laboratoriestyringssystem”