Міністерство охорони здоров’я та соціальних служб США (Department of Health and Human Services, HHS) уклало угоду з медичною мережею Ліхай-Веллі (Lehigh Valley Health Network, LVHN) після розслідування атаки шифрувальників. Організація виплатить 800 тисяч доларів, а Управління з громадянських прав HHS протягом трьох років контролюватиме план виправлень.
Розслідування стосувалося захищеної медичної інформації 248 359 людей. За даними HHS, зловмисники вивели дані із систем LVHN і розмістили їх у даркнеті.
Серед викрадених матеріалів були знімки пацієнтів відділення променевої онкології, імена, адреси, дати народження та номери соціального страхування. До масиву також потрапили водійські посвідчення, фінансові відомості, діагнози, результати аналізів, дані про ліки та лікування.
LVHN повідомила регулятора про злам 15 травня 2023 року. Мережа заявила, що виявила підозрілу активність 4 лютого, а подальше розслідування встановило атаку із застосуванням програми-вимагача.
Управління з громадянських прав вказало на кілька можливих порушень правил захисту медичних даних HIPAA.
Серед них були відсутність повного аналізу ризиків, нерегулярна перевірка журналів системної активності, неправомірне розкриття інформації та затримка повідомлень постраждалим і HHS.
План виправлень зобов’язує LVHN заново оцінити ризики для електронної медичної інформації та скласти програму їхнього зниження. Мережа також перегляне правила конфіденційності, безпеки та повідомлення про витоки, а за потреби оновить навчальні матеріали для працівників.
Громадське радіо Ліхай-Веллі повідомляло, що мережа виявила шифрувальник 6 лютого 2023 року в частині своєї інфраструктури. LVHN залучила фахівців із кібербезпеки, локалізувала атаку та повідомила правоохоронців.
За даними регіонального медіа, проникнення сталося 8 січня і зачепило підрозділ лікарської групи Delta Medix. Мережа запропонувала постраждалим дворічну підписку на сервіс контролю особи Experian IdentityWorks.
Окрему цивільну справу завершили раніше за федеральну угоду. Громадська медіамережа WHYY повідомила, що в листопаді 2024 року суд схвалив угоду на 65 млн доларів для понад 134 тисяч пацієнтів.
У тій справі йшлося про медичні записи та фотографії онкологічних пацієнтів, які злочинна група BlackCat оприлюднила після відмови LVHN платити викуп. Розмір виплат учасникам колективного позову залежав від того, які дані викрали і чи з’явилися вони у відкритому доступі.
HHS називає нинішню угоду 22-м випадком застосування заходів до організацій після атак шифрувальників. Федеральний контроль охоплює аналіз ризиків, управління вразливостями, внутрішні правила та підготовку працівників LVHN.
