Die Nationale Kommission für Informationstechnologie und Freiheiten (CNIL) hat das Loire Private Hospital sanktioniert (HPL) mit einer Geldstrafe von 500.000 CHF. Es folgt ein Datenverstoß im Sommer 2025.

Ein Angreifer konnte auf die Daten von 524.867 Patienten zugreifen, darunter auch Gesundheitsdaten einiger, sowie auf 202.246 Personen, die als vertrauenswürdige Dritte eingestuft wurden.

Welche Sicherheitslücken wurden ausgenutzt?

Die CNIL-Untersuchung ergab mehrere schwerwiegende Verstöße. Der größte Schwachpunkt war das Authentifizierungsverfahren für externe Benutzer, beispielsweise Privatärzte.

Der Zugriff auf die elektronische Patientenakte (EPA) erforderte kein VPN oder eine Multi-Faktor-Authentifizierungeine Schwachstelle, die der Angreifer direkt ausnutzte, um in das System einzudringen, indem er ein einzelnes Konto kompromittierte.

Darüber hinaus die Zugriffsrechte-Verwaltungsrichtlinie war unzureichend. Die CNIL stellt fest, dass sie das Konzept eines Pflegeteams nicht berücksichtigt hat, das es dem Angreifer ermöglichte, nach der Verbindung Zugriff auf alle Patientenakten der Einrichtung zu erhalten.

Warum wurde der Angriff nicht früher erkannt?

Ein weiterer Verstoß Der vom Datenschutzbeauftragten betonte Besorgnis über das Fehlen einer aktiven Überwachung. Es gab kein „ Maßnahmen zur Erkennung verdächtiger Aktivitäten innerhalb der DPI in Echtzeit oder sehr kurzfristig „.

Diese Lücke ermöglichte es dem Angreifer, das System mehrere Tage lang zu erkunden und eine sehr große Datenmenge auszuschleusen, ohne den geringsten Alarm auszulösen. Eine solche Situation erleichterte nicht nur den Diebstahl, sondern verzögerte auch die Reaktion der Einrichtung.

Korrekturmaßnahmen in Bearbeitung

Über die Geldbuße hinaus verlangte die CNIL, dass die HPL innerhalb von drei bis fünfzehn Monaten Korrekturmaßnahmen umsetzen müsse.

Der Vorstandsvorsitzende Xavier Claris gab (AFP) an, dass „ Die verschiedenen von der CNIL angeforderten Sicherheitsprojekte wurden alle gestartet “ und einige, wie die doppelte Authentifizierungsind bereits abgeschlossen.

Die CNIL verhängte außerdem Sanktionen gegen die Einrichtung, weil sie es versäumt hatte, den von dem Datenleck betroffenen Personen Informationen zur Verfügung zu stellen. Dabei handelt es sich um Personen, die von Patienten als Vertrauenspersonen benannt werden.