IBM遭MOVEit漏洞攻擊，致數(shù)百萬(wàn)美國(guó)人健康資訊外流

IBM成文件傳輸平臺(tái)MOVEit Transfer攻擊事件最新受害者，也連帶影響至少美國(guó)2州的公民醫(yī)保資訊外泄。

科羅拉多州負(fù)責(zé)州政府醫(yī)保業(yè)務(wù)資訊的健康政策與融資業(yè)務(wù)部（Colorado Department of Health Care Policy&Financing，HCPF）上周公布，數(shù)據(jù)處理委外企業(yè)IBM通知，后者所使用的文件傳輸服務(wù)MOVEit遭到黑客攻擊，連帶導(dǎo)致409萬(wàn)州民的醫(yī)保計(jì)劃（Medicaid program）數(shù)據(jù)被竊取。但該機(jī)構(gòu)表示，經(jīng)過(guò)調(diào)查該部門(mén)或科羅拉多州系統(tǒng)未受影響。

IBM和該州的合約下，利用MOVEit Transfer平臺(tái)進(jìn)行日常的數(shù)據(jù)傳輸。該州說(shuō)明，IBM在得知事件后通知該部門(mén)并展開(kāi)調(diào)查。根據(jù)調(diào)查，IBM使用的MOVEit所傳輸?shù)牟糠諬CPF文件，于今年5月28日左右遭未經(jīng)授權(quán)的攻擊者訪問(wèn)。被訪問(wèn)的文件包含該州409萬(wàn)余人醫(yī)保會(huì)員資訊，數(shù)據(jù)涵蓋姓名、社會(huì)安全號(hào)碼、醫(yī)療資訊、健康保險(xiǎn)資訊等。IBM尚未就科羅拉多州事件做出聲明。

MOVEit供應(yīng)商Progress Software于5月31日公告，MOVEit Transfer的漏洞CVE-2023-34362遭零時(shí)差攻擊。之后微軟等安全企業(yè)推測(cè)是黑客組織Clop所為。

科羅拉多州并非唯一因IBM的MOVEit系統(tǒng)攻擊被波及的州。上周美國(guó)密蘇里州社會(huì)福利部也公告，6月間接獲IBM通知，該州Medicaid醫(yī)保計(jì)劃會(huì)員資訊外泄，類(lèi)型包括姓名、會(huì)員編號(hào)、生日、納保范圍及理賠數(shù)據(jù)。IBM對(duì)媒體宣稱(chēng)MOVEit僅用于IBM顧問(wèn)服務(wù)承攬?jiān)撝輼I(yè)務(wù)的一小部分，其中只有一小部分包含個(gè)人資訊。

密蘇里州政府并未公布外泄數(shù)據(jù)數(shù)量。Techcrunch報(bào)道，該州約有600萬(wàn)人口。

IBM是MOVEit軟件黑客攻擊的最新受害者。根據(jù)估計(jì)，MOVEit攻擊事件受害企業(yè)組織將近600家，不乏IT或顧問(wèn)企業(yè)如PwC、Deloitte、Enst&Young、PBI Research Services等。承接美國(guó)多州健康與社會(huì)保險(xiǎn)數(shù)據(jù)處理的大型IT委外商Maximus，也在7月底通報(bào)使用的MOVEit系統(tǒng)發(fā)生安全事件，至少有800到1,100萬(wàn)人的個(gè)人信息，包括社會(huì)安全碼及健康資訊遭訪問(wèn)。

伊利諾州則在6月9日公布自己有用MOVEit，并在接獲FBI安全公告后切斷所有連接進(jìn)行調(diào)查，不過(guò)該州未公布數(shù)據(jù)外泄調(diào)查結(jié)果。