Kort samengevat: Kaiser Permanente HIPAA-trackerlek van 13,4 miljoen
- Geen hack, toch gelekt: Geen hijack. Geen kwaadaardige actor. Kaiser Permanente lekte alsnog 13,4 miljoen ledenrecords omdat marketing trackers installeerde die engineering nooit had gescoped, en beide teams dachten dat het andere team het risico droeg.
- Trackers op HIPAA-pagina's: De gelekte pixels exfiltreerden namen, IP-adressen, bezochte URLs, loginstatus en zoektermen uit de gezondheidsencyclopedie, op pagina's die onder HIPAA vallen. cside kan een script beperken tot een pagina-scope en waarschuwen wanneer het ergens vuurt waar dat niet zou mogen.
- Scope of verwijder: Als een tracker op je site kan laden op een pagina met PHI, PII of betaalgegevens, scope die dan vandaag nog. Kun je hem niet scopen, verwijder hem dan voordat je volgende auditbrief een lekbrief wordt.
Weinig tijd? Bekijk cside's in-browser Magecart- en skimmerblokkering. Dit dekt alles hieronder in één deployment.
Op 29 april maakte zorgverzekeringsreus Kaiser Permanente een datalek bekend dat 13,4 miljoen huidige en voormalige verzekeringsleden trof. Het incident was het gevolg van slecht beheerde scripts van derden.
Het incident
Kaiser Permanente gebruikte trackingcodes om te monitoren hoe leden door de website en mobiele applicaties navigeerden. Sommige van deze pagina's bevatten gevoelige zorggegevens, waardoor de scripts van derden per ongeluk informatie doorgaven aan externe leveranciers die daar geen toegang toe hadden.
Hoewel het lek niet het gevolg was van een script-kaping, laat het een veelvoorkomend gat zien in de manier waarop de zorgsector, en bedrijven daarbuiten, omgaan met scripts van derden.
Het incident wijst ook op een breder probleem: engineeringteams krijgen vaak ad hoc de opdracht om scripts van derden te implementeren die zijn gekozen door marketing-, data- of juridische teams. Dit kan ertoe leiden dat engineers het script implementeren zonder de nodige context, waarna het sitebreed wordt uitgerold. Het werkt, maar het raakt nu gegevens waar het niet bij mag.
De juiste tooling was waarschijnlijk niet aanwezig om dit probleem te signaleren of te voorkomen.
De risico's
De kern van het probleem was een gebrek aan begrip en ontoereikende openbaarmaking van de gebruikte trackingcode, niet kwaadwillendheid. De gedeelde gegevens omvatten namen, IP-adressen, bezochte pagina's, inlogstatus van gebruikers en zoektermen die werden gebruikt in de online gezondheidsencyclopedie van Kaiser. Hoewel dergelijke trackingscripts zeer gangbaar zijn, moeten ze in de zorgsector voldoen aan privacyregelgeving zoals de Health Insurance Portability and Accountability Act (HIPAA) en andere wetgeving.
De risico's van ontoereikende openbaarmaking
Zorgverleners verwerken gevoelige informatie, en elk datalek kan ernstige gevolgen hebben. Hoewel de door Kaiser gedeelde gegevens mogelijk niet worden geclassificeerd als elektronisch beschermde gezondheidsinformatie (ePHI), kan het lek toch leiden tot boetes en vrijwel zeker tot reputatieschade. Het incident laat zien dat veel bedrijven met sterke veiligheids- en complianceteams nog steeds te maken krijgen met slecht beheer van scripts van derden. Een probleem dat we maar al te vaak tegenkomen.
Een praktische oplossing
Om dergelijke problemen aan te pakken, kunnen bedrijven robuuste Content Security Policies (CSP's) implementeren om scripts van derden op gevoelige pagina's te beheren. Hoewel deze oplossing enkele nadelen heeft, zoals ruis in consolelogs, beperkt het effectief het risico op ongeautoriseerd delen van gegevens.
Idealiter zou men, in plaats van scripts globaal uit te rollen, gebruikmaken van conditional rendering: het definiëren van de pagina's waarop scripts mogen laden.
Met cside kun je je scripts van derden ook op een overzichtelijkere manier beheren, door te zien welke scripts op specifieke pagina's worden uitgevoerd en kwaadaardige code te stoppen voordat deze wordt gerenderd.
cside
cside kan signaleren wanneer scripts worden aangetroffen op pagina's met gevoelige informatie, met behulp van fijnmazige, automatisch gegenereerde regels die levering blokkeren zonder ruis in consolelogs op die pagina's.
Om de beveiliging van scripts van derden aan te pakken, analyseert onze oplossing scripts voordat ze de browser van de gebruiker bereiken. Door scripts te proxyen en AI in te zetten om kwaadaardige intenties te detecteren, zorgt cside ervoor dat potentiële bedreigingen worden geneutraliseerd voordat ze schade kunnen aanrichten. Deze proactieve aanpak, gecombineerd met analyse van historische context, maakt effectieve monitoring en respons op inbreuken via scripts van derden mogelijk.
Wij monitoren uiteraard ook alle scripts, wat betekent dat dit probleem met ons in gebruik voorkomen had kunnen worden.
