Datalekken in de VS in augustus 2024: 5.984.639 mensen getroffen

Analyse van de gegevens van de procureur-generaal van Maine

Uit de analyse van IT Governance USA van de meldingen van datalekken bij het Office of the Maine Attorney General in augustus 2024 bleek het volgende:

• 92 nieuwe datalekken, met gevolgen voor 5.984.639 personen*
• 3 updates van eerder gemelde datalekken

We kijken naar wat er aan een toezichthouder wordt gerapporteerd om ons te helpen significante trends en patronen in de echte wereld te identificeren. Deze maand werden bijvoorbeeld veel minder personen getroffen, maar waren er meer nieuwe datalekken vergeleken met zowel juni als juli.

We hebben gekozen voor het kantoor van de procureur-generaal van Maine, omdat dit – voor zover wij weten en op het moment van schrijven – de beste bron is voor datalekken in de VS die een breed scala aan sectoren bestrijkt.

Wat we vooral prettig vinden, is dat het gegevens verschaft over het aantal personen dat in het hele land is getroffen, en niet alleen in de betreffende staat.

*Dit zijn niet per se unieke personen, aangezien dezelfde persoon in de databases van meerdere organisaties kan voorkomen.

Top 3 grootste inbreuken

1. National Public Data lijdt onder datalek dat 1,3 miljoen mensen treft – maar liefst 2,9 miljoen miljard gegevens kunnen worden beïnvloed

Op 10 augustus meldde Jerico Pictures, Inc. (handelsnaam National Public Data) aan de procureur-generaal van Maine dat er een datalek was ontstaan ​​dat 1,3 miljoen personen trof.

Het bedrijf heeft ook een melding van een beveiligingsincident op zijn website geplaatst, waarin staat dat de dreigingsactor eind december 2023 heeft geprobeerd zijn systemen te hacken en dat er eerder dit jaar mogelijk gegevens zijn gelekt.

Volgens de website van National Public Data zijn er “miljarden” aan gegevens in om te doorzoeken, zodat klanten antecedentenonderzoek kunnen doen en strafbladgegevens kunnen verkrijgen. Naar verluidt schraapt National Public Data de informatie uit openbare bronnen om individuele gebruikersprofielen samen te stellen.

Hoewel in het dossier in Maine staat dat het lek ‘slechts’ 1,3 miljoen mensen trof, beweerde een eerdere class action-rechtszaak, aangespannen op 1 augustus, dat het datalek ‘voorzienbaar en te voorkomen’ was.

In de klacht wordt met name gesteld dat National Public Data “geen redelijke beveiligingsprocedures en -praktijken heeft gebruikt die passen bij de aard van de gevoelige informatie die zij voor eiser en groepsleden bewaarden, waardoor PII (persoonlijk identificeerbare informatie) werd blootgesteld, zoals het versleutelen van de informatie of het verwijderen ervan wanneer deze niet langer nodig is.”

In de rechtszaak wordt ook gesteld dat 2,9 miljard gegevens waren te koop aangeboden door criminele groep USDoD. Dit zou PII van alle Amerikaanse, Canadese en Britse burgers bevatten.

2. Bijna 1 miljoen mensen getroffen door datalek bij Young Consulting

Softwareleverancier Young Consulting heeft de procureur-generaal op de hoogte gesteld van een datalek dat 954.177 personen heeft getroffen. Het heeft ook een melding van een datalek op zijn website gepubliceerd, waarin wordt uitgelegd dat het in april te maken heeft gehad met een cyberaanval.

In de mededeling werd niet veel informatie gegeven over de aard van het beveiligingsincident, behalve dat een ‘ongeautoriseerde actor’ toegang had gekregen en dat andere gegevenseigenaren waren getroffen, waaronder zorgverzekeraar Blue Shield.

Op 7 mei beweerde de ransomwarebende BlackSuit dat ze Young Consulting hadden aangevallen en bedrijfs-, werknemers-, financiële en andere gegevens hadden geëxfiltreerd. De groep heeft de gegevens inmiddels beschikbaar gesteld om te downloaden, wat suggereert dat Young Consulting niet aan de eisen van BlackSuit heeft toegegeven.

Volgens de kennisgeving die is ingediend bij de procureur-generaal van Maine, omvat de gecompromitteerde PII namen, geboortedata, burgerservicenummers, verzekeringspolis- en claimgegevens, recepten en namen van zorgverleners.

3. Patelco Credit Union lijdt aan ransomware-aanval die 726.000 mensen treft

Patelco Credit Union heeft de procureur-generaal op 20 augustus laten weten dat er sprake is van een datalek, specifiek een ransomware-aanval, waarbij 726.000 personen zijn getroffen.

Patelco ontdekte de inbreuk voor het eerst in juni. Naast het informeren van de procureur-generaal van Maine, informeerde het ook de California DFPI (Department of Financial Protection and Innovation) en publiceerde een kennisgeving van een datalek op zijn website.

Het bedrijf heeft de dader niet geïdentificeerd, maar de RansomHub-bende eiste op 16 augustus de verantwoordelijkheid op en zou de gestolen gegevens hebben gepubliceerd nadat de onderhandelingen mislukten.

Wilt u op de hoogte blijven van ons laatste onderzoek?
en andere gratis bronnen? Abonneer u op onze gratis
wekelijkse nieuwsbrief: de Beveiliging in de schijnwerpers.

Volledige lijst van datalekken in augustus 2024

Ransomware-aanvallen blijven problematisch

In juni zei James Pickard, ons hoofd van de afdeling beveiligingstesten:

Ransomware zal een probleem blijven voor organisaties, gezien de financiële voordelen voor dreigingsactoren. We zien al tekenen dat ransomware-aanvallen toenemen.

Uit onze analyse blijkt dat deze stijging niet afneemt.

We zien ook dat ransomware-bendes zich meer richten op data-exfiltratie dan op ‘traditionele’ data-encryptie. Dit maakt aanvallen vanuit een technisch standpunt eenvoudiger te ontwerpen en uit te voeren.

Het legt ook meer druk op slachtoffers: het simpelweg herstellen van uw back-ups verkleint niet de kans dat gegevens op het dark web worden gepubliceerd. Hierdoor wordt de impact van het lek groter en neemt de reputatie- en financiële schade toe.

3 beveiligingstips

1. Bewaar gegevens niet langer dan u nodig hebt

Gegevensminimalisatie is niet alleen een belangrijk principe in privacywetgeving zoals de AVG (Algemene Verordening Gegevensbescherming) en de CPRA (California Privacy Rights Act) van de EU. Het is ook vanuit zakelijk oogpunt verstandig om geen gegevens op te slaan die u niet nodig hebt.

Dataopslag kost geld – en met name als u veel data opslaat, lopen die kosten snel op. U kunt dat geld besparen door data te verwijderen zodra u het niet meer nodig hebt. Dit vermindert ook de impact van een datalek, mocht u er een krijgen – dreigingsactoren kunnen niet stelen wat u niet hebt.

2. Gebruik encryptie

Zoals de class action-rechtszaak tegen National Public Data suggereerde, zouden gevoelige gegevens zoals PII moeten worden versleuteld.

Encryptie is over het algemeen een effectieve beveiligingsmaatregel, maar geen ‘wondermiddel’. Dat gezegd hebbende, is het verstandig om te implementeren voor:

• Vertrouwelijke of gevoelige informatie zoals PII. In praktische zin kan dit betekenen dat u personeel instrueert om PII te delen via een versleutelde service in plaats van via e-mail. U kunt ze ook leren om de informatie te versleutelen voordat u deze aan een e-mail toevoegt.
• Authenticatie-informatie (inclusief wachtwoorden). Niemand, inclusief uw IT-team, mag toegang hebben tot iemands inloggegevens in platte tekst.
• Gegevens over laptops, mobiele apparaten en verwisselbare mediaomdat ze draagbaar zijn, waardoor de informatie die erop staat een groter risico loopt op inbreuk.

3. Eenvoudige, kosteneffectieve maatregelen brengen veel teweeg

De meeste cyberaanvallen zijn opportunistisch en basaal. Dreigingsactoren zoeken naar gemakkelijke doelen – organisaties die bijvoorbeeld niet patchen.

Door een aantal basismaatregelen te nemen die weinig geld kosten, kunt u uzelf al een heel eind beschermen:

• Toegangscontrole zoals wachtwoorden en MFA (multifactorauthenticatie)
• Anti-malware- en antivirussoftware
• Veilige configuratie
• Regelmatig patchen
• Brandmuren

Een andere kosteneffectieve maatregel die helpt onbedoelde inbreuken te voorkomen, is bewustwordingstraining voor personeel. Menselijke fouten zijn de meest voorkomende grondoorzaak van datalekken.

In deze blog worden vijf manieren beschreven waarop u zich kunt verdedigen tegen de dreiging van binnenuit.

Wilt u met een cybersecurity-expert spreken?

Met meer dan 20 jaar ervaring in cyberbeveiliging begrijpen wij risicomanagement.

Onze experts hebben cybersecurityprogramma’s geïmplementeerd voor honderden organisaties over de hele wereld, in uiteenlopende sectoren.

Bent u nieuw in de wereld van cybersecurity en heeft u advies nodig over hoe u kunt beginnen?

Of een bestaand cybersecurityprogramma updaten?

Onze cybersecurity-experts staan ​​voor u klaar.