Healthplex: Sicherheitsvorfall
Daten von fast 90 Tsd. Patienten nach Phishing-Angriff kompromittiert.

Um den 24. November 2021 herum wurde Healthplex, ein Dienstleister für Zahngesundheit, Opfer einer Cyberattacke. Das Unternehmen gab dies im April 2022 bekannt. Der Täter bekam Zugang zu den Firmensystemen, als eine seit 20 Jahren bei Healthplex angestellte Mitarbeiterin auf eine Phishing-Mail hereinfiel und ihm ihre Login-Daten zukommen ließ.

So verschaffte er sich Zugriff auf die Microsoft 365-Umgebung von Healthplex, für die es zum Zeitpunkt des Angriffs noch keine MFA gab. Dort konnte er personenbezogene Daten von 89.995 Patienten aus insgesamt 12 Jahren E-Mail-Verkehr auslesen. Betroffene Informationen umfassten Namen, Mitglieds-IDs, Telefonnummern, Kreditkartennummern, Sozialversicherungs- und Führerscheinnummern, Namen von rezeptpflichtigen verschriebenen Medikamenten sowie Nutzernamen und dazugehörigen Passwörtern.

Zudem verschickte der Hacker weitere Phishing-E-Mails über den Account der Mitarbeitenden. Andere Angestellte bemerkten dies und meldeten die bösartigen Mails, woraufhin der Vorfall entdeckt wurde.

Die Generalstaatsanwaltschaft von New York strengte eine Untersuchung des Vorfalls an. Diese endete im Dezember 2023 in einer Zahlung von 400.000 USD und einer Versicherung seitens Healthplex, seine Sicherheitsvorkehrungen zum Schutz personenbezogener Daten anpassen zu wollen.