Veradigm zgłosił do SEC kradzież danych pacjentów przez poświadczenia API dostawcy

Veradigm, dawniej Allscripts, zgłosił we wtorek wieczorem do amerykańskiej komisji SEC, że nieznany sprawca włamał się do systemów jednego z jego dostawców i wykradł dane pacjentów, w tym w niektórych przypadkach numery Social Security. Firma dostarcza systemy dokumentacji medycznej tysiącom szpitali i lekarzy na świecie. Sprawca zdobył u dostawcy poświadczenia do interfejsu API Veradigm, z którego ten dostawca korzystał w obsłudze klientów, i tymi poświadczeniami pobrał kopie danych osobowych. Dane kliniczne i medyczne nie ucierpiały.

Według firmy dostęp ograniczył się do jednego interfejsu i nie objął sieci, serwerów ani baz danych, a praca systemów nie została zakłócona. Daty włamania Veradigm nie podał. W piątek grupa ransomware Gentlemen dodała Veradigm do swojej strony z wyciekami i twierdzi, że ma dokumentację 3,5 mln pacjentów. Grupa działa od jesieni zeszłego roku i niedawno zaatakowała firmy medyczne Nutex i AnMed.

Dla firmy, która oddaje partnerom klucze do swoich danych, ten przypadek pokazuje, że wyciek u dostawcy skutkuje tak samo jak wyciek u siebie. Veradigm nie stracił kontroli nad własną siecią, a dane pacjentów i tak wyszły.