NationsBenefits bestätigt, dass Tausenden von Menschen ihre persönlichen Daten bei Fortra Breach gestohlen wurden

Ein weiterer Unternehmensgigant hat bestätigt, dass Tausende von Mitgliedern der Gesundheitsbranche ihre Informationen während des Cyberangriffs auf Fortra-Kunden gestohlen wurden.

Das in Florida ansässige Technologieunternehmen NationsBenefits sagte in einer beim Generalstaatsanwalt von New Hampshire eingereichten Mitteilung über eine Datenschutzverletzung, dass mehr als 7.100 Einwohnern des Bundesstaates während des Ransomware-Angriffs auf die Systeme von Fortra Ende Januar ihre persönlichen Daten gestohlen wurden.

NationsBenefits bietet Medicare-Mitgliedern zusätzliche Vorteile, wie z. B. Seh-, Hör- und rezeptfreie Medikamente.

In der Datenschutzverletzungsmitteilung heißt es, dass Hacker die persönlichen Daten von NationsBenefits-Mitgliedern gestohlen haben, die in der von Fortra gehosteten Instanz von GoAnywhere gespeichert sind, einem Dateiübertragungs-Softwaretool, das von Tausenden von Organisationen zum Austausch von Informationen und großen Datensätzen im Internet verwendet wird.

Hacker nutzten eine zuvor unbekannte Schwachstelle, um während des Massenhacks im Januar Dutzende von Fortra-gehosteten GoAnywhere-Clientinstanzen zu überfallen. Die Clop-Ransomware-Bande hat die Verantwortung übernommen und behauptet, sie habe Daten von über hundert Organisationen gestohlen.

NationsBenefits hat in seiner Datenschutzverletzungsmitteilung nicht angegeben, welche mitgliedsspezifischen personenbezogenen Daten bei dem Angriff gestohlen wurden.

Als er von TechCrunch kontaktiert wurde, weigerte sich der Sprecher von NationsBenefits, Michael Fried, zu sagen, welche spezifischen Mitgliedsdaten bei dem Vorfall gestohlen wurden, und fügte hinzu, dass das Unternehmen "alle rechtlichen und kommerziellen Verpflichtungen als Reaktion auf diesen Vorfall einhält".

Es ist nicht bekannt, wie viele Menschen mit Wohnsitz außerhalb von New Hampshire betroffen sind. NationsBenefits reichte auch in Kalifornien eine Datenschutzverletzung ein, aber die Unternehmen sind nach staatlichem Recht nicht verpflichtet, die Anzahl der von einer Datenschutzverletzung betroffenen Einwohner offenzulegen. Unternehmen sind im Allgemeinen verpflichtet, Datenschutzverletzungen in Kalifornien offenzulegen, wenn 500 oder mehr Einwohner betroffen sind.

NationsBenefits hat über 20 Millionen Mitglieder in den Vereinigten Staaten. Der Sprecher des Unternehmens wollte auf Nachfrage nicht sagen, wie viele seiner Millionen Mitglieder von dem Verstoß betroffen sind.

Die Krankenversicherung ist der jüngste Fortra-Kunde, der bestätigt, dass er von der Datenpanne im Januar betroffen war. Der US-Gesundheitsriese Community Health Systems war das erste bestätigte Opfer und eines der am schlimmsten betroffenen, wobei Hacker behaupteten, Daten von mindestens einer Million Patienten gestohlen zu haben. Der Konsumgüterriese Procter & Gamble, der Gesundheitsprogrammanbieter US Wellness, der Investmentriese Onex, der UK Pension Protection Fund, Brightline und die Stadt Toronto haben allesamt Datendiebstahl infolge von Hacking bestätigt.

Fortra ist wegen seines schlechten Umgangs mit der Sicherheitslücke unter Beschuss geraten, zu der auch das Verstecken von Details des Zero-Day-Exploits hinter einer Client-Anmeldewand gehörte. Die Nachricht von der Verletzung kam erst ans Licht, als der Sicherheitsreporter Brian Krebs die versteckte Offenlegung des Unternehmens online veröffentlichte. Fortra hat die Schwachstelle eine Woche später gepatcht.

TechCrunch berichtete, dass Fortra einigen Kunden mitgeteilt hatte, dass ihre Daten sicher seien, nur um herauszufinden, dass ihre Daten gestohlen wurden, nachdem Hacker eine Lösegeldforderung gesendet hatten.

NationsBenefits räumte in seiner Erklärung ein, dass "erst nach Kontaktaufnahme mit Fortra die Existenz der Schwachstelle bestätigt wurde."

In seinem ersten öffentlichen Eingeständnis des Verstoßes sagte Fortra am Dienstag in einem Blogbeitrag, dass Kunden, die ihren eigenen lokalen Server betreiben, fast zwei Wochen vor der Kompromittierung der gehosteten Systeme von Fortra gehackt wurden.

Fortra-Sprecherin Rachel Woodford lehnte es ab, zu sagen, wie viele Kunden betroffen sind, oder sich über den Blog des Unternehmens hinaus zu äußern.