A Advanced foi multada em £3M por ciberataque que expôs dados de 79.000 pacientes do NHS

Um importante fornecedor de software do NHS foi multado em £3,07 milhões por não implementar medidas de segurança adequadas antes de um ataque de ransomware em 2022 que expôs os dados pessoais de 79.000 pessoas, conforme confirmado pelo regulador de proteção de dados do Reino Unido (ICO).

A Advanced Computer Software Group Ltd (Advanced) recebeu uma penalidade da ICO por violar as regulamentações de proteção de dados, pois seus sistemas não possuíam uma implementação completa de autenticação multi-fator (MFA).

Os invasores se aproveitaram dessa fraqueza de segurança para invadir a subsidiária de saúde e cuidados da empresa e roubar dados sensíveis, enquanto interrompiam os serviços do NHS 111, conforme observado pela ICO.

John Edwards, que atua como Comissário de Informações do Reino Unido, expressou sua decepção com as fraquezas de segurança encontradas nas operações da subsidiária da Advanced.

“Embora a Advanced tenha instalado autenticação multifator em muitos de seus sistemas, a falta de cobertura completa significava que hackers poderiam ganhar acesso, colocando as informações pessoais sensíveis de milhares de pessoas em risco”, afirmou ele, conforme relatado pelo ICO

“As pessoas nunca devem ter que pensar duas vezes sobre se seus registros médicos estão em mãos seguras. Para usar os serviços com confiança, elas devem poder confiar que toda organização que entra em contato com suas informações pessoais – seja usando-as, compartilhando-as ou armazenando-as em nome de outras – está cumprindo suas obrigações legais para protegê-las”, acrescentou.

O grupo de ransomware LockBit realizou um ataque que causou extensas interrupções de sistema em toda a rede. Trabalhadores da saúde perderam a capacidade de acessar os registros dos pacientes enquanto os detalhes de entrada em casa de 890 pessoas recebendo cuidados domiciliares ficaram expostos a partes não autorizadas, conforme relatado pela BBC.

O ICO inicialmente estabeleceu a multa em £6.09 milhões antes de reduzi-la devido à cooperação da Advanced com as agências de aplicação da lei e de segurança cibernética, como o Centro Nacional de Segurança Cibernética (NCSC) e a Agência Nacional de Crimes (NCA).

A empresa aceitou a decisão do ICO sem contestação e optou por não entrar com recurso.