CareCloud: Osam sati pristupa pacijentovim podacima

CareCloud, jedan od najvećih dobavljača tehnologije za pohranu elektroničkih zdravstvenih zapisa (EHR), potvrdio je da su neovlašteni korisnici 16. ožujka dobili pristup jednom od njihovih skladišta pacijentovih podataka. Prema podacima koje je tvrtka dostavila Američkoj komisiji za vrijednosne papire (SEC), napadači su imali neometan pristup osjetljivim informacijama više od osam sati prije nego što je kršenje otkriveno i zaustavljeno.

Incident je poseban zbog razmjera: CareCloud opslužuje preko 45.000 zdravstvenih ustanova širom SAD-a, što znači da su podaci milijuna pacijenata potencijalno izloženi. Tvrtka je istaknula da su podaci pohranjeni u šest odvojenih okruženja, ali nije precizirala koliko je zapisa konkretno pogođeno ni kakva je točno priroda pristupljenih informacija. To ostavlja ključna pitanja o opsegu štete i mogućim posljedicama za pacijente.

Važno je naglasiti da ovo nije prvi slučaj ciljanog napada na dobavljače EHR-usluga. Prema izvješćima FBI-ja o zdravstvenoj cybernetičkoj prijetnji iz 2023., sektor zdravstva s međusobno povezanih baza podataka čini posebno atraktivnom metom za financijski motivirane kriminalce. Razlog je jednostavan: medicinski podaci na crnom tržištu vrijede 10 do 20 puta više od kreditnih kartica, jer omogućuju dugotrajnu zloupotrebu – od identitetskih krađa do iznuđivanja.

CareCloud je incident prijavio SEC-u tek 24. ožujka – osam dana nakon otkrića – što postavlja pitanje o brzini reakcije i transparentnosti tvrtke. Ona je navela da je angažirala neimenovanu cybernetičku sigurnosnu firmu za istragu, ali do sada nije objavljeno tko stoji iza napada ni koja je točna metoda kompromitacije. Prema dostupnim informacijama, čini se da nije riječ o ransomwareu, već o neovlaštenom pristupu bez trenutnih zahtjeva za plaćanjem.

Za pacijente ovo znači da, iako još uvijek nema dokaza o konkretnoj zloupotrebi podataka, rizik od identitetskih krađa ili ciljanih phishing napada raste. Ključno pitanje ostaje: koliko je zdravstvenih ustanova koje koriste CareCloudove usluge već obavijestilo svoje pacijente? Prema HIPAA propisima, tvrtke imaju 60 dana od otkrića incidenta da pošalju obavijesti – rok koji u ovom slučaju još nije istekao.

Ono što ovaj slučaj posebno ističe jest sustavni problem zaštite podataka u zdravstvu. Dobavljači kao što je CareCloud predstavljaju kritičnu točku propusta: njihovi sustavi povezuju tisuće ustanova, pa jedini propust može ugroziti cijeli lanac. Bez obzira na ishode ove istrage, pitanje ostaje – koje će mjere biti uvedene da se spriječi ponavljanje, kada su u igri podaci milijuna ljudi?

Vrijeme je za proaktivnije pristupe u sprječavanju cyber napada. Tvrtke poput CareClouda moraju ulagati u napredne sigurnosne sustave i transparentno izvješćivati o incidentima kako bi se smanjio rizik za sve korisnike.