Perry Johnson Companies выплатит 300 000 долларов после взлома данных 13 млн человек
Генеральные прокуроры Коннектикута, Нью-Джерси, Нью-Йорка и Мичигана добились соглашения с Perry Johnson Companies. Компания выплатит 300 000 долларов и обяжется радикально изменить подход к кибербезопасности после взлома, которому подверглись данные более 13 млн человек по всей стране.
Главное в цифрах
- Сумма соглашения: 300 000 долларов
- Штание дополнительного платежа при невыполнении реформ: 9,7 млн долларов
- Количество затронутых людей: более 13 млн
- Дата взлома: март 2023 года
- Длительность кражи данных: около двух месяцев
Дело касалось дочерних структур Perry Johnson Companies, которые занимаются медицинской транскрипцией, кодированием и визуализацией. Компания зарегистрирована в Неваде. Взлом произошёл в марте 2023 года.
По данным расследования, которое провело ведомство генпрокурора Нью-Йорка Летиции Джеймс, злоумышленники проникли в систему с помощью учётных данных одного из сотрудников. Многофакторная аутентификация для проверки пользователей не применялась. В последующие месяцы хакеры получили пароли и доступ к незашифрованным файлам с защищёнными медицинскими данными пациентов.
Почему не сработала защита
Система мониторинга компании зафиксировала действия злоумышленников, но была, по имеющимся данным, неправильно настроена и не передала сигнал службе информационной безопасности.
Кража данных продолжалась около двух месяцев. Компания, по данным прокуроров, узнала о взломе только от самих хакеров.
Похищенные записи содержали имена, даты рождения, домашние адреса, номера социального страхования, номера больничных счетов, диагнозы, данные о страховке и клинические сведения из файлов медицинской транскрипции, включая названия лекарств и результаты диагностических и лабораторных анализов.
Условия соглашения
По условиям сделки Perry Johnson обязана создать комплексную программу информационной безопасности и стандарты реагирования на инциденты, внедрить многофакторную аутентификацию, шифрование и системы управления паролями, ежегодно проводить оценку рисков и организовать учёт сбора, использования, хранения и удаления медицинских данных.
Если компания не выполнит требуемые реформы, она дополнительно выплатит четырём штатам 9,7 млн долларов. Комментарий компании в источнике не приводится: на запрос журналистов она не ответила.
