Intel Security onderzoekt de waarde van gestolen medische gegevens

Specifieke cybercrime-as-a-service richt zich op diefstal van medische en farmaceutische gegevens

SAMENVATTING

• Prijs van gestolen medische gegevens loopt van $0,03 tot $2,42 per record

• Vergelijkbare records van financiële gegevens worden te koop aangeboden voor $14,00 tot $25,00

• Creditcard- en betaalpasgegevens te koop voor $4,00 tot $5,00 per record

• De meest lucratieve gezondheidszorggegevens die cybercriminelen proberen te bemachtigen, betreffen intellectueel eigendom van farmaceutische en biotechbedrijven

• Er ontwikkelt zich een Cybercrime-as-as-Service-economie rond medische en farmaceutische gegevens

• Cybercriminelen proberen doelgericht medewerkers binnen de gezondheidszorg te rekruteren als handlangers

Schiphol-Rijk, 26 oktober 2016– Intel Security presenteert het McAfee Labs Health Warning-rapport, dat inzicht biedt in de markt voor gestolen data uit de gezondheidszorg en aanverwante sectoren. Daarbij wordt de marktwaarde van gestolen medische gegevens vergeleken met die van gestolen financiële gegevens. Tevens wijst het rapport op cybercrime-as-a-service die zich specifiek op deze sector richt. Ook wordt gekeken naar cybercriminelen die zich richten op intellectueel eigendom van farmaceutische en biotechbedrijven. De algemene conclusie is dat de ‘business of cybercrime’ gericht op de gezondheidszorg, groeit.

De waarde van gestolen data

Het onderzoek door Intel Security wijst uit dat de prijs per record voor gestolen medische gegevens van patiënten op dit moment lager is dan die van financiële gegevens of betalingsgegevens uit de retailsector. Dit ondanks het feit dat gegevens van creditcards en pinpassen steeds korter misbruikt kunnen worden, omdat gestolen nummers en passen snel worden geblokkeerd.

Intel Security heeft de afgelopen jaren gezien dat cybercriminelen hun ‘werkveld’ uitbreiden van financiële gegevens naar medische gegevens. Terwijl creditcard- en pasnummers snel geblokkeerd en vervangen kunnen worden, is dat niet het geval voor persoonlijke medische gegevens. Daarbij gaat het bijvoorbeeld om achternaam, de meisjesnaam van de moeder van de patiënt, BSN-nummers, verzekeringsgegevens en adresgegevens. Maar ondanks de verwachting dat dat waarde van gestolen medische gegevens snel zou stijgen naar het niveau van financiële gegevens, wijst het onderzoek van Intel Security dit niet uit.

De gemiddelde prijs voor medische gegevens ligt weliswaar iets hoger dan die voor algemene persoonlijke informatie, maar is lager dan de prijs die wordt gevraagd voor financiële gegevens. Voor financiële accountgegevens wordt tussen de $14,00 en $25,00 per record betaald; de prijs voor creditcardnummers ligt tussen de $4,00 en $5,00. Voor medische gegevens varieert de prijs tussen de $0,03 en $2,42. Hieruit blijkt dat cybercriminelen nog altijd makkelijker geld kunnen verdienen met financiële data dan met medische gegevens. Daar komt bij dat het te gelde maken van gestolen medische gegevens criminelen vaak meer werk kost dan bij financiële gegevens. Na diefstal van een set medische gegevens, moet de databuit bijvoorbeeld eerst geanalyseerd worden en mogelijk gekoppeld worden aan data die zijn gestolen uit andere bronnen, voordat er lucratieve mogelijkheden zijn voor fraude, diefstal of afpersing. Financiële data bieden cybercriminelen daarom een snellere en aantrekkelijkere ‘return on investment’.

Gestolen creditcard- of pinpasgegevens zijn direct bruikbaar en kunnen snel worden doorverkocht, nog voordat consumenten, banken of retailers de diefstal ontdekken en de betreffende nummers blokkeren. Gesloten medische gegevens daarentegen, behouden langer hun waarde, maar vereisen meer tijd en middelen om er echt iets mee te kunnen doen.

Diefstal van intellectueel eigendom en vertrouwelijke bedrijfsgegevens

Intel Security onderzocht ook wat de waarde is van intellectueel eigendom en vertrouwelijke bedrijfsgegevens die zijn buitgemaakt bij farmaceutische en biotechbedrijven. De onderzoekers ontdekten dat chemische formules voor nieuwe geneesmiddelen, de resultaten van geneesmiddelentests en andere vertrouwelijke informatie een aanzienlijke waarde representeren. Dergelijke data van farmaceutische en biotechbedrijven, hun partners en zelfs van de overheidsinstanties die betrokken zijn bij het goedkeuren en op de markt brengen van nieuwe medicijnen, zijn een zeer aantrekkelijk doelwit voor cybercriminelen.

“Het ontwikkelen van nieuwe geneesmiddelen kost enorm veel tijd en geld. Het is dan ook geen verrassing dat dit soort gegevens erg aantrekkelijk is voor cybercriminelen”, zegt Raj Samani, Intel Security CTO voor Europa.

Cybercrime-as-a-service

Intel Security heeft tevens individuen weten te identificeren die cybercrime-as-a-service inzetten voor aanvallen op organisaties in de gezondheidszorg. Er is onder andere bewijs gevonden voor het kopen en huren van exploits en exploit kits waarmee medische gegevens gestolen kunnen worden. In één geval bleek dat een niet-technische cyberdief tools had gekocht om een kwetsbare organisatie binnen te dringen, vervolgens maakte hij gebruik van gratis ‘technische ondersteuning’ om de aanval uit te voeren en wist hij uiteindelijk ruim 1.000 stuks medische gegevens buit te maken waarvan zijn ‘service provider’ claimde dat dit hem ruim $15.000 kon opleveren.

Ook zijn er vrij brutale pogingen van cybercriminelen waargenomen om via online advertenties en sociale media werknemers binnen de gezondheidszorg te rekruteren die toegang hebben tot gevoelige informatie.

“Als we de overhand willen krijgen in cybersecurity, moeten we radicaal anders gaan denken”, vervolgt Samani. “Organisaties in de gezondheidszorg die nu vaak nog vertrouwen op oude scenario’s en stappenplannen, moeten flexibeler en onvoorspelbaarder worden in hun aanpak. Industriespelers die informatie voor zichzelf houden, moeten deze delen en meer gaan samenwerken.”

Download voor meer informatie het volledige rapport: Health Warning.