ביום חמישי בבוקר, מרפאות ברחבי ארצות הברית שרצו להזמין בדיקת דם מ-Quest Diagnostics גילו שהמערכת המקוונת לא עובדת, וקיבלו הנחיה לחזור לטפסים על נייר. המעבדה, אחת הגדולות בארצות הברית, גילתה יומיים קודם לכן שמישהו נכנס בלי הרשאה למערכת שבה מרוכזות הזמנות הבדיקות והתוצאות. מה בדיוק נלקח משם, היא עדיין לא יודעת.

מה קרה

ב-21 באוקטובר דיווחה Quest Diagnostics שהתגלתה גישה לא מורשית ל-Quanum LSM, המערכת המקוונת שבה רופאים, בתי חולים וצוותי מרפאות מזמינים בדיקות מעבדה, עוקבים אחרי הסטטוס שלהן ושולפים תוצאות. החברה הפעילה את נוהל תגובת האירועים שלה, הגישה דיווח לרשות ניירות הערך האמריקאית (SEC) ופרסמה הודעה ושאלות ותשובות באתר שלה. בהודעה היא כותבת שלהערכתה הגישה נגעה גם בחלק מנתוני המטופלים שבמערכת, אבל אילו סוגי נתונים בדיוק, עדיין לא נקבע.

ביום חמישי Quest ניתקה את Quanum LSM והנחתה את הלקוחות לעבור בינתיים לטפסים על נייר או למערכת אחרת שלה. כמה מערכות נוספות הושבתו בזהירות עד שהבדיקה תסתיים. החברה אמרה שהשירות ללקוחות הקצה לא נפגע, ושהיא מתכננת להחזיר את המערכת לאוויר ביום שישי.

מה שאין בהודעה מעניין לא פחות ממה שיש בה. אף קבוצת תקיפה לא לקחה אחריות על האירוע, דובר החברה סירב להתייחס לאופי הפריצה, והיקף הפגיעה לא פורסם. את הדבר האחד שהחברה כן שללה במפורש היא בחרה לציין: האירוע לא קשור לחולשות ה-PHP שהסעירו את עולם האבטחה בשבוע שעבר.

Quest היא לא שחקן קטן. לפי נתוני החברה היא משרתת מדי שנה אחד מכל שלושה מבוגרים בארצות הברית ומחצית מהרופאים ובתי החולים שם. ב-2019 נחשפו פרטיהם של כ-11.9 מיליון ממטופליה בפריצה אצל חברת גבייה שעבדה איתה, והתביעות הייצוגיות שהוגשו בעקבותיה עוד לא הסתיימו.

למה זה חשוב לכם

Quest לא פועלת בישראל, ולמי שלא עשה בדיקות בארצות הברית אין מה לחפש ברשימות. מה שכן עובר מכאן לשם הוא סוג המידע: תוצאות בדיקות, שמות רופאים, מספרי הזמנה ותאריכים. אצלנו אותו מידע בדיוק יושב במערכות של קופות החולים והמעבדות הפרטיות.

והסיבה שמידע רפואי שווה לעבריינים יותר מרשימת כתובות מייל פשוטה: הוא מה שהופך שיחת טלפון מזויפת לאמינה. מי שמתקשר ואומר "שלום, אנחנו מהמעבדה, יש בעיה עם הבדיקה מה-14 בחודש" לא צריך לעבוד קשה כדי להישמע אמיתי. הוא כבר יודע דברים שרק המעבדה אמורה לדעת.

מה עושים?

אם קיבלתם הודעה מגוף רפואי שהפרטים שלכם עשויים להיות בדליפה, אל תחכו לרשימה המלאה. בשלב הזה גם הגוף עצמו לא יודע מה נלקח, וזה בדיוק החלון שבו העבריינים פועלים.

שיחה או הודעה בנושא תוצאות בדיקה היא לא סיבה למסור פרטים. אל תאשרו מספר זהות, תאריך לידה או פרטי אשראי למי שהתקשר אליכם, גם אם הוא מדקלם פרטים נכונים.

רוצים לבדוק אם הפנייה אמיתית? נתקו את השיחה והתקשרו למעבדה או לקופה לפי המספר שבאתר הרשמי או באפליקציה, ולא לפי המספר שהופיע בשיחה או בהודעה.

הפעילו אימות דו-שלבי בחשבון של קופת החולים ובכל שירות רפואי מקוון שמציע את זה, ובחרו שם סיסמה שלא חוזרת באף מקום אחר.

כרטיס אשראי שדלף אפשר להחליף. תוצאת בדיקה לא, ולכן מה שנשאר בידיים שלכם הוא איך אתם מגיבים לשיחה שמצטטת אותה.