Uiterst gevoelige medische data op Dark Web. Een les   

Een absoluut horror-scenario rond gehackte medische data doet zich voor in Australië. Daar maakte op 13 oktober 2022 de private zorgverzekeraar Medibank bekend dat een hack had plaatsgevonden van hun ICT-systemen. Het duurde even tot de volle omvang duidelijk was. Op 24 oktober bleek het te gaan om 200 GB aan informatie. Van 9,7 miljoen huidige/vorige klanten maakten de hacker(s) persoonsgegevens buit met daarbij ook bank- en creditcardgegevens. Nog veel erger is de wetenschap dat de hacker(s) van 500.000 klanten medische gegevens stalen. De gestolen gegevens bevatten o.a. codes voor medische zaken die artsen vastlegden. Daarbij gaat het o.a. seksuele gezondheid, ernstige diagnoses zoals kanker, of een vrouw een abortus heeft ondergaan en of een persoon is behandeld voor een psychische aandoening of middelenmisbruik. Medibank betaalt geen losgeld aan de aanvallers. Die hebben op hun beurt nu een deel van de medische informatie op het Dark Web gezet.

Hoe kon het gebeuren?

Naar verluidt zou sprake zijn geweest van het inbreken via eén enkel toegangsaccount. Dat zou beveiligd geweest zijn met multifactor-authenticatie. Dat werkt met iets wat je weet(inlognaam en wachtwoord), iets dat je hebt(een token of een code die via een smartphone wordt verstuurd) plus nog iets wat je bent( bijv. een vingerafdruk). Kenners vragen zich echter af hoe het in godsnaam mogelijk is dat na het zo binnenkomen de hacker(s) in de systemen van Medibank 200 GB aan data konden buitmaken. Experts vragen zich ook af of met de hack van inloggegevens misschien de toegangsaccounts tussen cloud-applicaties onderling binnen het Medibank-netwerk bedoeld worden. Dat zou dan gaan om de Microsoft “Azure Service Principals”, die kunnen worden gebruikt bij machine-to-machine-verbindingen. Daarbij zou het kan mogelijk kunnen zijn zo’n soort verbinding referentie gecompromitteerd is. Ook zou het een combinatie kunnen zijn van een hack van de initiële toegang en de dwarsverbindingen.

REvil

In de Australische nieuwsmedia komen steeds meer berichten dat de in Rusland gevestigde hackersgroep REvil verantwoordelijk zou zijn voor de hack. REvil staat ook bekend als Sodinokibi, werkt als een ransomware-as-a-service (RaaS) “dienst”. Ransomware-aanvallen worden over het algemeen ingegeven door financieel gewin. Aanvallers hacken een netwerk of systeem, extraheren privé- en gevoelige informatie en eisen vervolgens geld van een bedrijf of persoon in ruil voor het niet vrijgeven van gestolen gegevens of het decoderen van geblokkeerde computers. De eerste openlijke aanwijzing kwam naar voren toen een losgeldbrief en een dreigement om Medibank-klantinformatie vrij te geven op een darkweb-blog werd geplaatst. Een eerdere URL beheerd door REvil leidde door naar de nieuwe website die de Medibank-gegevens host. Dit kon alleen worden gedaan door REvil of iemand met toegang tot hun servers, zeiden cyberbeveiligingsexperts.