7,7 miljoen LabCorp-klanten werden mogelijk getroffen door een enorme datalek

Heel wat mensen maakten zich zorgen toen Laboratory Corporation of America Holdings (beter bekend als LabCorp) aankondigde dat het op 16 juli 2018 een cyberaanval had gehad. Dit is niet zo verrassend. We hebben het immers over een wereldwijde organisatie die in tientallen landen verschillende klinische testen uitvoert, wat betekent dat ze verantwoordelijk is voor de gezondheidsgerelateerde informatie van miljoenen patiënten.

Een paar dagen later haalden die patiënten opgelucht adem toen bleek dat hun gegevens niet waren blootgesteld. Het bleek dat de laboratoriumketen het doelwit was geweest van ransomware-exploitanten die geen informatie wilden stelen. Er werden nogal wat systemen getroffen, maar LabCorp slaagde er uiteindelijk in zijn infrastructuur opnieuw op te bouwen en alles ging terug naar normaal. Op dinsdag kondigde LabCorp aan dat zijn naam betrokken is geweest bij een andere cyberaanval, en helaas waren deze keer de gegevens van mensen gecompromitteerd.

LabCorp-klanten getroffen door een datalek die niet is gebeurd bij LabCorp

Het nieuws brak uit toen LabCorp een 8-K-formulier indiende bij de Amerikaanse Securities and Exchange Commission, waarin stond dat een medisch incassobedrijf, bekend als American Medical Collection Agency (AMCA), was getroffen door hackers. LabCorp had, net als veel andere organisaties, een contract gesloten met AMCA om een deel van het verschuldigde geld te innen en de informatie van het bureau gegeven die aan LabCorp-klanten toebehoorde. Helaas slaagden hackers er rond 1 augustus 2018 in om de betalingspagina van AMCA te compromitteren en begonnen ze de gegevens van mensen te stelen. Op 30 maart 2019 was het systeem eindelijk beveiligd en werd de aanval beëindigd.

Wat was de aard van de informatie die werd gestolen?

Er zijn nogal wat details uitgelekt tijdens de aanval. LabCorp gaf toe dat de gegevens namen, adressen, geboortedata, telefoonnummers en informatie over het verschuldigde bedrag bevatten. Gelukkig heeft LabCorp geen medische informatie met AMCA gedeeld en het bureau zelf houdt vol dat het geen sofinummers of verzekeringsidentificatie-informatie heeft over LabCorp-patiënten. Helaas heeft AMCA toegegeven dat sommige betalingsgegevens "mogelijk zijn gebruikt".

Hoeveel LabCorp-klanten zijn getroffen?

LabCorp zegt dat het ongeveer 7,7 miljoen klanten naar AMCA heeft doorverwezen, maar de archivering is niet erg duidelijk over het exacte aantal mensen dat een deel van of al hun gegevens heeft blootgelegd. AMCA verzendt momenteel berichten naar ongeveer 200 duizend LabCorp-klanten die de komende 24 maanden bescherming tegen identiteitsdiefstal en kredietbewaking zullen ontvangen, maar niemand lijkt zeker te zijn of dit alle LabCorp-patiënten zijn die getroffen zijn door de AMCA-datalek. Eén ding is zeker: de mensen die de services van LabCorp hebben gebruikt, waren niet de enigen die werden getroffen door de datalek van AMCA.

LabCorp is misschien maar het topje van de ijsberg

Zoals we al zeiden, is LabCorp slechts een van de klanten van AMCA, wat betekent dat de gebruikers van LabCorp slechts een deel zijn van alle mensen die door de inbreuk zijn getroffen. Volgens de dingen is het ook niet zo'n groot deel.

Op 3 juni, slechts een dag voordat LabCorp zijn 8-K-aanvraag indiende, kondigde Quest Diagnostic, een ander medisch testbedrijf, aan dat dankzij de AMCA-inbreuk, bijna 12 miljoen van zijn patiënten hun financiële en persoonlijke informatie hadden blootgelegd. Het verschil was in dat geval dat de klanten van Quest ook hun sofinummer hadden en dat sommige medische gegevens in gevaar waren. Het ergste van alles, voor sommige mensen was dit niet echt nieuws.

Eind februari ontdekten beveiligingsonderzoekers van Gemini Advisory enkele gestolen records op het dark web en na analyse daarvan wisten ze vrijwel zeker dat ze uit AMCA's systemen waren gehaald. De experts probeerden contact op te nemen met het incassobureau, maar zij ontvingen geen antwoord. Een paar maanden later rapporteerde DataBreaches.net ook over het incident, en ook zij probeerden iemand van AMCA te vinden, maar nogmaals, het slachtoffer van wat Gemini Advisory beschrijft als de grootste medische inbreuk van 2019, bleef stil.

De kat is nu goed uit de zak, maar toch is AMCA nog steeds niet erg communicatief. Dit is niet echt het soort reactie dat je wilt zien van een bedrijf dat is getroffen door zo'n enorme datalek.

Het is nog onbekend hoeveel andere bedrijven kunnen worden getroffen door het AMCA-incident, en het is nog moeilijker om te voorspellen hoeveel mensen hun gegevens hebben blootgelegd. Het is eerlijk om te zeggen dat als je zakelijke interacties met AMCA hebt gehad tussen augustus 2018 en maart 2019, je misschien wel je ogen open wilt houden voor iets verdachts.