本文来自微信公众号“GoUpSec”。
强生医疗健康系统公司（“Janssen”）近日通知其CarePath客户，他们的敏感信息在涉及IBM的第三方数据泄露事件中遭到泄露。
CarePath是一款应用程序，帮助患者获得杨森药物、提供针对符合条件的处方提供折扣和节省成本的建议、保险范围指导以及提供药物补充和管理警报服务。
IBM是强生公司的技术服务提供商，负责CarePath应用程序和数据库的技术服务和管理。
根据强生网站上的通知，该制药公司发现了一种可未授权访问CarePath数据库的新方法。
强生公司向IBM报告了这一情况后，IBM立即修复了安全漏洞并启动了内部调查，以评估是否有人利用了该漏洞。
不幸的是，2023年8月2日结束的调查显示，未经授权的用户访问了以下CarePath用户详细信息：
●全名
●联系信息
●出生日期
●健康保险信息
●用药信息
●医疗状况信息
强生表示，社会安全号码和金融账户数据没有保存在被泄露的数据库中。
此次数据泄露事件影响了2023年7月2日之前注册强生公司在线服务的CarePath用户，这可能表明数据泄露发生在当天，或者泄露的是数据库备份。
此外，强生公司还澄清，此次安全事件不会影响杨森的肺动脉高压患者。
安全专家指出，泄露的患者数据可用于高效的网络钓鱼、诈骗和社会工程攻击，考虑到医疗数据的价值，它们很有可能在暗网市场上以溢价出售。
IBM针对该事件发布了一份单独的公告，称没有迹象表明被盗数据已被滥用。尽管如此，IBM仍敦促Janssen CarePath用户保持警惕，并密切监控其账户报表是否存在可疑活动。
强生不是IBM数据泄露的第一个医疗行业受害者，仅仅数周前，科罗拉多州医疗保健政策和融资部(HCPF)通知400万人，他们的个人和医疗数据因IBM的泄露而遭到泄露。
IBM是今年早些时候遭受Clop勒索软件攻击的数百家实体之一，后者利用了全球知名企业广泛采用的MOVEit Transfer软件中的零日漏洞。
安全媒体BleepingComputer已向IBM询问此事件是否与MOVEit攻击有关，IBM发言人回复称是由不同威胁行为者引起的单独事件。
