Estland: Fast 700.000 Kundendaten von Apothekendienstleister abgeflossen

Nach einem Cyberangriff informiert ein großer Anbieter von Apotheken- und Krankenhausbedarf in Estland, Lettland und Litauen, seine estnischen Kunden über einen Datenabfluss. Demnach wurde von fast der Hälfte der estnischen Bevölkerung illegal Daten heruntergeladen. Dies berichtet der estnische Nachrichtendienst ERR News.

Betroffen sind unter anderem persönliche Identifikationsnummern, E-Mail-Adressen, Telefonnummern, Adressdetails und Kaufinformationen, wie der betroffene Dienstleister Allium UPI laut ERR News berichtet. Betroffen sind Informationen aus den Jahren 2014 bis 2020, da es sich um eine Sicherungskopie einer Datenbank handelte. Allium UPI verwaltet die Daten von Kundenkarteninhabern, bei denen es sich größtenteils um Apothekenkunden handelt.

Verschreibungspflichtige Arzneimittel nicht betroffen

Insgesamt gelangten die Cyberkriminellen an mehr als 400.000 E-Mail-Adressen, fast 60.000 Wohnadressen und rund 30.000 Telefonnummern. Betroffen sind auch Details von insgesamt 43 Millionen Einkäufen, darunter rezeptfreie Medikamente und andere Apothekenprodukte wie Pflaster. Daten zu verschreibungspflichtigen Medikamenten und Passwörter gelangten jedoch nicht in die Hände der Cyberkriminellen.

Die Polizei arbeitet nicht nur innerhalb Estlands, sondern auch international zusammen. Im Februar wurden die zentrale Kriminalpolizei, die staatliche Informationsbehörde und die Datenschutzinspektion (AKI) darüber informiert, dass das Kundenkartensystem von Allium UPI illegal angegriffen und Kundendaten heruntergeladen wurden. Die Ermittler vermuten, dass Allium UPI keine ausreichenden Vorkehrungen zum Schutz personenbezogener Daten getroffen hat, und untersuchen, was hätte anders gemacht werden können.

Lesen Sie auch

Statt Passwörter: Wie Sie Accounts mit Passkeys schützen

Veikko Raasuke, Leiter der Incident-Response-Abteilung (CERT-EE) der Information System Authority, erklärte laut ERR News, dass ein schwerwiegender Cyberangriff oft mit der Account-Übernahme eines Mitarbeiters beginnt.

Lesen Sie auch

Cisco warnt vor Ransomware-Angriffen auf VPNs ohne Mehrfaktorauthentifizierung

Daher sei eine Zwei-Faktor-Authentifizierung wichtig. Ebenso sollte nur auf die IT-Systeme zugegriffen werden, "die unbedingt über das Internet erreichbar sein müssen, und alle diese sollten hinter einem VPN oder einer anderen Sicherheitslösung platziert werden", zitiert ERR News Raasuke. Dennoch gebe es laut CERT-EE in Estland immer noch über 1000 Remote-Desktops, auf die online frei zugegriffen werden könne.

Datenschutz für viele ein Nebenschauplatz

AKI-Direktorin Pille Lehis sagte: "Dieser Fall zeigt, dass Datenschutz für viele Unternehmen ein untergeordnetes Thema ist." Sie betonte, dass gegebene Zustimmungen jederzeit zurückgezogen werden können, gesammelte Daten jedoch nie vollständig gelöscht werden können.

Lesen Sie auch

E-Mail-Konto gehackt: Was Sie jetzt tun müssen

Ende 2023 war es bei dem Genanalyse-Unternehmen "Asper Biogene" zu einem Ransomware-Vorfall gekommen. Betroffen waren dabei die Gesundheitsdaten von etwa 10.000 Esten. Auch damals hatte Lehis darauf hingewiesen, dass Bedrohungen im Cyberraum weiterhin nicht ernst genommen würden.

(mack)