Компания Advanced оштрафована на £3M за кибератаку, которая раскрыла данные 79 000 пациентов NHS

Основному поставщику программного обеспечения для NHS был наложен штраф в размере 3,07 миллиона фунтов стерлингов за невыполнение должных мер безопасности перед атакой вируса-вымогателя в 2022 году, которая раскрыла персональные данные 79 000 человек, как подтвердил регулятор по защите данных Великобритании (ICO).

Группа Advanced Computer Software Ltd (Advanced) получила штраф от ICO за нарушение правил защиты данных, поскольку в ее системах отсутствовала полноценная реализация многофакторной аутентификации (MFA).

Атакующие использовали эту слабость в системе безопасности, чтобы вломиться в подразделение компании, занимающееся здравоохранением и уходом, и украсть конфиденциальные данные, нарушая при этом работу службы NHS 111, как отметил ICO.

Джон Эдвардс, исполняющий обязанности Информационного комиссара Великобритании, выразил свое разочарование в отношении обнаруженных слабостей в системе безопасности подразделений Advanced.

«Несмотря на то что компания Advanced установила многофакторную аутентификацию на многих своих системах, отсутствие полного покрытия означало, что хакеры могут получить доступ, подвергая риску чувствительную личную информацию тысяч людей», — заявил он, как сообщает ICO

«Люди никогда не должны задумываться о том, находятся ли их медицинские записи в безопасных руках. Чтобы с уверенностью пользоваться услугами, они должны быть уверены, что каждая организация, которая приходит в контакт с их личной информацией — будь то ее использование, распространение или хранение от имени других — выполняет свои законные обязательства по ее защите», — добавил он.

Группа рансомвара LockBit осуществила атаку, которая привела к масштабным сбоям в системе по всей сети. Медицинские работники потеряли возможность доступа к медицинским картам пациентов, в то время как данные о домашнем входе 890 человек, получающих домашнее обслуживание, стали доступны неавторизованным сторонам, как сообщила BBC.

ICO сначала установило штраф в размере £6.09 миллиона, затем снизило его благодаря сотрудничеству Advanced с правоохранительными органами и агентствами по кибербезопасности, такими как Национальный центр кибербезопасности (NCSC) и Национальное агентство по борьбе с преступностью (NCA).

Компания без возражений приняла решение ICO и решила не подавать апелляцию.