Datenpanne bei AdaptHealth legt Patientendaten offen, nachdem ein Dienstleisterkonto kompromittiert wurde

Der US-amerikanische Medizintechnik-Anbieter AdaptHealth hat einen Cyberangriff offengelegt, bei dem Patientendaten kompromittiert wurden, nachdem Hacker einen externen Dienstleister mithilfe eines Social-Engineering-Angriffs getäuscht hatten. Die Datenpanne bei AdaptHealth betraf mehrere cloudbasierte Geschäftsanwendungen. Das Unternehmen stufte den Vorfall später als wesentlich ein und meldete ihn der US-Börsenaufsicht Securities and Exchange Commission (SEC).

Social-Engineering-Angriff kompromittierte Dienstleisterkonto

Die Angreifer nahmen einen externen Dienstleister mit einem Social-Engineering-Angriff ins Visier. Sie übernahmen eine aktive Benutzersitzung und verschafften sich dadurch Zugriff auf mehrere cloudbasierte Geschäftsanwendungen.

Nachdem AdaptHealth den Angriff entdeckt hatte, deaktivierte das Unternehmen das betroffene Konto und setzte die kompromittierten Zugangsdaten zurück. Zusätzlich führte das Unternehmen weitere Zugriffskontrollen ein, um den Angriff einzudämmen.

Am 27. Juni kam AdaptHealth zu dem Schluss, dass der Vorfall die Kriterien für ein wesentliches Cybersicherheitsereignis erfüllt. Ausschlaggebend waren sowohl die Art des Angriffs als auch die Menge der möglicherweise gefährdeten Daten.

Hacker verschafften sich Zugriff auf Patientensysteme

Laut der Meldung an die SEC verschafften sich die Angreifer Zugriff auf interne Patientenverwaltungssysteme und Plattformen zur Dokumentenspeicherung.

Außerdem stahlen sie Passwörter, die mit der Versicherungsabrechnung verknüpft waren. Zu den kompromittierten Daten gehörten personenbezogene Informationen (PII) sowie geschützte Gesundheitsdaten (PHI) von Patienten.

AdaptHealth erklärte, dass die betroffenen Systeme keine US-Sozialversicherungsnummern speichern. Sie enthalten außerdem weder Zahlungskartendaten noch individuelle Bankkontoinformationen. Dadurch blieben einige der sensibelsten Finanzdaten von dem Vorfall verschont.

Ermittlungen dauern an

AdaptHealth hat externe Spezialisten für digitale Forensik mit der Untersuchung der Datenpanne beauftragt. Die Experten sollen klären, wie sich die Angreifer Zugang verschafften und welche Daten genau entwendet wurden.

Das Unternehmen hat den vollständigen Umfang des Vorfalls bislang noch nicht festgestellt. Auch die Zahl der betroffenen Patienten ist derzeit noch unbekannt.

AdaptHealth erklärte, bereits Maßnahmen ergriffen zu haben, um eine weitere Verbreitung der gestohlenen Daten zu verhindern.

Bislang keine Lösegeldforderung

Bislang hat keine Ransomware-Gruppe die Verantwortung für den Angriff übernommen.

AdaptHealth erklärte außerdem, keine Lösegeldforderung erhalten zu haben. Das Unternehmen teilte ebenfalls nicht mit, eine Zahlung an die Angreifer geleistet zu haben.

Derzeit kann AdaptHealth die finanziellen Auswirkungen des Vorfalls noch nicht beziffern. Zu den möglichen Kosten zählen die Reaktion auf den Sicherheitsvorfall, Rechtskosten, behördliche Untersuchungen, Benachrichtigungen betroffener Patienten sowie Reputationsschäden.

Das Unternehmen erklärte jedoch, dass seine Cyberversicherung möglicherweise einen Teil dieser Verluste abdeckt.

Patientenversorgung läuft ohne Unterbrechung weiter

Nach Angaben von AdaptHealth hat die Datenpanne den Geschäftsbetrieb nicht beeinträchtigt. Patienten erhalten weiterhin ohne Unterbrechung medizinische Geräte und Dienstleistungen.

Die Ermittlungen dauern an, während Sicherheitsexperten den Angriff und seine vollständigen Auswirkungen weiter untersuchen.