Firma Advanced ukarana grzywną w wysokości 3 milionów funtów za cyberatak, który ujawnił dane 79 000 pacjentów NHS

Główny dostawca oprogramowania dla NHS został ukarany grzywną w wysokości 3,07 miliona funtów za niezastosowanie odpowiednich środków bezpieczeństwa przed atakiem ransomware w 2022 roku, który ujawnił dane osobowe 79 000 osób, jak potwierdził brytyjski regulator ochrony danych (ICO).

Advanced Computer Software Group Ltd (Advanced) otrzymało karę od ICO za naruszenie przepisów o ochronie danych, ponieważ w ich systemach brakowało kompleksowej implementacji wieloskładnikowego uwierzytelniania (MFA).

Napastnicy wykorzystali tę lukę w zabezpieczeniach, aby włamać się do filii firmy zajmującej się zdrowiem i opieką, a następnie dokonać kradzieży wrażliwych danych, jednocześnie zakłócając działanie usług NHS 111, jak zauważył ICO.

John Edwards, który pełni funkcję Komisarza do spraw Informacji w Wielkiej Brytanii, wyraził swoje rozczarowanie związane ze znalezionymi lukami w zabezpieczeniach w działalności filii Advanced.

„Chociaż Advanced zainstalowało wieloskładnikowe uwierzytelnianie na wielu swoich systemach, brak pełnego pokrycia oznaczał, że hakerzy mogli zdobyć dostęp, narażając na ryzyko wrażliwe dane osobowe tysięcy osób”, stwierdził, jak podaje ICO

„Ludzie nigdy nie powinni zastanawiać się dwa razy, czy ich dane medyczne są w bezpiecznych rękach. Aby korzystać z usług z pewnością, muszą mieć zaufanie, że każda organizacja, która ma styczność z ich danymi osobowymi – czy to przez ich użycie, udostępnianie czy przechowywanie w imieniu innych – spełnia swoje prawne obowiązki ochrony tych danych”, dodał.

Grupa ransomware LockBit przeprowadziła atak, który spowodował obszerne awarie systemowe na całej sieci. Pracownicy służby zdrowia stracili możliwość dostępu do rejestrów pacjentów, a dane dotyczące wejścia do domu 890 osób korzystających z opieki domowej zostały ujawnione nieuprawnionym osobom, jak podaje BBC.

ICO początkowo ustaliło grzywnę na 6,09 miliona funtów, zanim obniżyło ją ze względu na współpracę Advanced z organami ścigania i agencjami zajmującymi się bezpieczeństwem cybernetycznym, takimi jak Narodowe Centrum Bezpieczeństwa Cybernetycznego (NCSC) i Narodowa Agencja Przestępczości (NCA).

Firma zaakceptowała decyzję ICO bez sprzeciwu i zdecydowała się nie wnosić odwołania.