AdaptHealth bị xâm nhập qua kỹ thuật xã hội từ nhà thầu bên thứ ba, lộ dữ liệu bệnh nhân
"AdaptHealth disclosed that attackers used social engineering against a third-party contractor to gain access to its cloud environment and internal business systems. The breach exposed patient management data, document storage, external EHR portals, and sensitive information including PII, protected health information, and passwords tied to insurance billing; the company said it contained the incident by disabling the contractor account, resetting credentials, and adding access controls, with no CVE involved."
Rủi ro chính đến từ việc lộ PII/PHI và mật khẩu gắn với quy trình insurance billing, cho thấy tác động nghiêm trọng dù không liên quan CVE. Điểm then chốt: xâm nhập qua nhà thầu bên thứ ba, chiếm quyền vào hệ thống đám mây, và đánh cắp thông tin nhạy cảm.
Sự cố có thể gây gián đoạn vận hành và tăng chi phí tuân thủ do phải công bố với SEC và tiếp tục điều tra phạm vi rò rỉ. Điểm then chốt: tác động tuân thủ/quan hệ nhà đầu tư, nguy cơ lạm dụng dữ liệu bệnh nhân, và chi phí khắc phục (vô hiệu hóa tài khoản, đặt lại xác thực, siết kiểm soát truy cập).
AdaptHealth cho biết kẻ tấn công đã dùng social engineering nhắm vào một nhà thầu bên thứ ba để giành quyền truy cập vào môi trường đám mây và các hệ thống kinh doanh nội bộ. Theo thông báo gửi SEC, kẻ xâm nhập truy cập các hệ thống quản lý bệnh nhân, nền tảng lưu trữ tài liệu và cổng electronic health record (EHR) bên ngoài.
Công ty cho biết cuộc tấn công bắt đầu sau khi kẻ tấn công liên hệ và tiết lộ việc đánh cắp vào ngày 15/6, sau đó AdaptHealth kích hoạt quy trình ứng phó sự cố. Do không nêu rõ có yêu cầu tống tiền hay không, cũng như chưa có nhóm tội phạm mạng nào nhận trách nhiệm tại thời điểm công bố.
Về dữ liệu bị ảnh hưởng, AdaptHealth xác nhận bị lấy PII và protected health information (PHI) của một số bệnh nhân, cùng với mật khẩu liên quan đến insurance billing (bao gồm “password file associated with insurance billing”). Thông tin SSN và chi tiết thanh toán được cho là không bị ảnh hưởng.
Biện pháp khắc phục gồm vô hiệu hóa tài khoản nhà thầu, đặt lại thông tin xác thực và bổ sung kiểm soát truy cập; công ty đánh giá sự cố đã được kiểm soát. Ngày 27/6, AdaptHealth xác định đây là sự cố có tính chất trọng yếu do “potential volume” dữ liệu rủi ro và cần công bố với SEC. Không có CVE được đề cập.