Хакери проникват в ИТ системите на WS Audiology и нарушават услугите за слухови апарати Widex и Signia

WS Audiology (WSA), компанията майка на Widex и Signia, разследва инцидент със сигурността, при който неоторизирани лица са получили достъп до части от ИТ инфраструктурата ѝ.

Компанията изключи избрани вътрешни системи и системи, достъпни за клиенти, за да ограничи заплахата. Това прекъсна дигиталните услуги, използвани от потребителите на слухови апарати и от специалистите по слухова грижа.

WSA обаче заяви, че самите слухови апарати не са засегнати. Инцидентът показва как нарушаването на поддържащите приложения може да се отрази на пациентите, дори когато медицинските устройства продължават да работят.

Подобно разграничение се видя и при пробива в платформата на Quest Diagnostics, където достъпът до една услуга беше преустановен, докато основните операции продължиха.

За клиентите на WSA непосредственото въздействие засегна управлението през приложението, инструментите за настройка и дистанционната поддръжка, а не потвърдена повреда в хардуера на слуховите апарати.

Публикацията на Hearing Tracker отбелязва неоторизирания достъп и прекъсванията на услугите, но не посочва зловреден софтуер, фамилия рансъмуер или конкретен атакуващ.

Докладът от 30 октомври цитира отговора на WSA и описва проблемите, съобщени от потребителите. Наличните данни затова подкрепят единствено твърдението за пробив в ИТ сигурността, а не приписването на инцидента на конкретна злонамерена програма.

Хакери проникват в ИТ системите на WS Audiology

WSA заяви, че е реагирала незабавно след откриването на инцидента и е работила с глобалните си ИТ партньори за неговото ограничаване. Компанията определя засегнатата среда като собствена ИТ инфраструктура.

Бизнес операциите и основните услуги продължиха, макар че защитните изключвания да причиниха прекъсвания. Възстановяването протичаше на етапи, като засегнатите системи се връщаха според приоритета им.

Widex Compass Cloud, използвана от специалистите по слухова грижа за настройка и фина настройка на апаратите, беше изключена превантивно. Към обновлението от 30 октомври WSA заяви, че системата отново е напълно функционална, което позволява настройката на Widex Allure и Allure AI да протича нормално.

Говорител подчерта, че заплахата за сигурността не е причинена от облачния софтуер на компанията и че Compass Cloud е била изключена умишлено.

Изключването на системи може да предизвика видими смущения, дори когато е защитно решение. При инцидента в New York Blood Center избрани системи също бяха изключени по време на ограничаването на атаката.

Този случай включваше потвърден рансъмуер, а разкритията на WSA не установяват същата причина. Сравнението се отнася до мярката за реагиране, а не до общ атакуващ, метод на заразяване или фамилия зловреден софтуер.

Приложението Widex MOMENT беше сред най-засегнатите услуги. HearingTracker съобщава, че някои потребители не са могли да достъпят настройките за слушане, въпреки че устройствата им са продължили да усилват звука.

Участник във форум описва как не е могъл да избере предпочитана програма за класна стая, докато преподава. Други потребители съобщават за затруднения при достъпа до контролите в приложението, което показва как наличността на софтуера може да влияе на всекидневната комуникация, без да спира самото устройство.

WSA очакваше приложението MOMENT да се върне през уикенда след изявлението от 30 октомври. Signia TeleCare се очакваше да бъде възстановена в началото на следващата седмица, а слуховите апарати Signia можеха да продължат да се настройват и регулират.

Това бяха прогнози за възстановяването, а не потвърждение, че то е приключило. WSA заяви също, че сайтовете ѝ за електронна търговия работят и съществуващите поръчки продължават да се обработват и изпращат.

Разследването оставя неясни метода на атаката и излагането на данни

Публичното съобщение не посочва как нападателите са проникнали в средата на WSA, до кои системи са получили достъп и дали са откраднали информация.

Не са разкрити нито експлоатирана уязвимост, нито компрометиран акаунт, нито активност по криптиране. Тези пропуски са важни, защото неоторизираният достъп, нарушаването на услугите и кражбата на данни са отделни констатации. Доказателство за едното не доказва автоматично другите.

Пробивът в ИТ инфраструктурата на CareCloud показва защо това разграничение е важно: възстановяването на услугата и разследването на възможно разкриване на информация за пациенти бяха отделни задачи.

По същия начин прекъсванията на приложенията на WSA не доказват, че са откраднати данни на пациенти. Клиентите и клиниките се нуждаят от допълнителни констатации, преди да направят изводи за поверителността, пълния обхват на достъпа или евентуални задължения за уведомяване във връзка с този инцидент.

HearingTracker споменава и отделен пробив в WSA от юли 2024 г., засегнал локална ИТ система за търговия на дребно, обслужваща дейността на Bloomhearing. Според доклада този по-ранен инцидент е разкрил информация за пациенти и служители.

Настоящото разкритие обаче не дава основание за свързване на двата случая. Третирането им като една кампания би надхвърлило наличните доказателства.

Индикатори за компрометиране (IoC):

Забележка: IP адресите и домейните са умишлено дефангнати (напр. [.]), за да се предотврати случайното им разрешаване или превръщане в хипервръзки. Връщайте оригиналния им вид само в контролирани платформи за threat intelligence като MISP, VirusTotal или във вашия SIEM.