Главни прокурори на американски щати обявиха в петък, че компания за здравни услуги се е съгласила да плати 300 000 долара и да въведе мащабни промени в практиките си за сигурност след пробив през март 2023 г., който разкри данните на повече от 13 милиона души в цялата страна.
Делото, заведено от главните прокурори в Кънектикът, Ню Джърси, Ню Йорк и Мичиган, е насочено срещу дъщерните дружества за медицинска транскрипция, кодиране и образна диагностика на базираната в Невада Perry Johnson Companies.
Ако фирмата не извърши изискваните реформи в областта на киберсигурността, от нея ще се изисква да плати на четирите щата допълнителни 9,7 милиона долара, според прессъобщение от кабинета на главния прокурор на Ню Йорк Летиша Джеймс.
Кабинетът на Джеймс започна разследване, което установи, че хакерите са проникнали в системите на Perry Johnson, използвайки идентификационните данни на служител. Компанията не е използвала многофакторна автентикация за проверка на потребителите, според службата на Джеймс.
В месеците след хакерската атака злонамереният субект е събрал пароли и е получил достъп до некриптирани файлове, съхраняващи защитени здравни данни на пациенти, се казва в прессъобщението. Въпреки че софтуерът на компанията е открил и записал движенията на хакера, се твърди, че той е бил лошо конфигуриран и не е сигнализирал за активността на екипа по информационна сигурност.
Кражбата на данни е продължила необезпокоявано в продължение на два месеца, като се твърди, че фирмата е научила за пробива едва когато самите хакери са я предупредили.
Твърди се, че откраднатите записи са съдържали имена, дати на раждане, домашни адреси, номера на социални осигуровки, номера на болнични сметки, диагнози, застрахователна информация и клинична информация от файлове за медицинска транскрипция. Файловете са включвали имената на лекарствата на пациентите, както и резултати от диагностични и лабораторни изследвания, според прессъобщението.
Фирмата не е отговорила на искането за коментар.
Условията на споразумението изискват Perry Johnson да създаде цялостна програма за информационна сигурност и стандарти за реакция при инциденти; да въведе системи за многофакторна автентикация, криптиране и управление на пароли; да прилага годишни програми за оценка на риска и да изгради система за правилно управление на събирането, използването, съхранението и унищожаването на здравните данни, които получава.