Astrana Health berichtet SEC über Betrug mit Telefonbetrug
Das amerikanische Unternehmen Astrana Health meldete der SEC einen Cybervorfall: Kriminelle fälschten die Nummer des Unternehmens und gaben sich als Mitarbeiter aus, um Zugang zu Systemen zu erhalten.
Astrana Health, ein amerikanisches Unternehmen für Dienstleistungen und Technologie für Ärzte und Gesundheitsanbieter, meldete der SEC am 23. September einen als wesentlich eingestuften Cybervorfall in seiner Tochtergesellschaft Astrana Health Management. Der im Formular 8-K beschriebene Vektor tangiert keine Softwareanfälligkeit: Kriminelle gaben sich als Mitarbeiter des Unternehmens aus und fälschten die Haupttelefonnummer des Unternehmens, um Mitarbeiter anzurufen und den Zugang zu internen Systemen zu versuchen.
Die Aktien von Astrana, die an der Nasdaq unter dem Symbol ASTH gehandelt werden, fielen bereits im vorbörslichen Handel am 23. September nach der Bekanntgabe. Das Unternehmen gab nicht öffentlich an, wie viele Patienten oder Datensätze möglicherweise betroffen sind, noch ob ein Lösegeld verlangt wurde.
Was das Unternehmen bestätigte
Laut der Mitteilung an die SEC entdeckte das Sicherheitsteam von Astrana ungewöhnliche Aktivitäten in der Umgebung der Tochtergesellschaft, reagierte auf die unbefugte Aktivität und leitete eine Untersuchung ein. Das Unternehmen engagierte eine externe digitale Forensikberatung, informierte die Strafverfolgungsbehörden und kommuniziert den Fall an staatliche und bundesstaatliche Regulierungsbehörden sowie an Partnerkrankenversicherer.
Die Verwendung des Begriffs "wesentlicher Vorfall" im 8-K hat eigenes Gewicht. Seit Dezember 2023 verlangt die SEC von börsennotierten Unternehmen, Cybervorfälle innerhalb von vier Werktagen zu melden, nachdem sie festgestellt haben, dass die Auswirkungen erheblich sind. Astrana traf diese Entscheidung, während die Untersuchung noch im Gange war, was darauf hindeutet, dass die erste Bewertung den Fall als relevant für Investoren betrachtete, bevor der Schaden quantifiziert war.
Telefon-Sozialengineering, ein Vektor, der nicht mit einem Patch behoben werden kann
Die von Astrana beschriebene Technik ist dieselbe, die einige der größten Unternehmensvorfälle der letzten drei Jahre prägte: Anrufe an das Kundenserviceteam oder an Mitarbeiter, bei denen der Angreifer sich als Kollege oder jemand aus der IT-Abteilung ausgibt, um eine Passwortzurücksetzung, die Registrierung eines neuen Authentifizierungsgeräts oder die Installation eines Remote-Zugriffs-Tools zu erreichen. Die Fälschung der Telefonnummer des Unternehmens selbst beseitigt das offensichtlichste Warnsignal für den Anrufenden.
Dieser Vektor umgeht einen Großteil der Investitionen in Sicherheitsmaßnahmen der letzten Jahre. Mehrfaktor-authentifizierung, EDR und Netzwerksegmentierung schützen vor dem Angreifer, der versucht, technischer Zugriff zu erlangen; sie verhindern nicht, dass ein Mitarbeiter, der überzeugt ist, mit dem internen Support zu sprechen, den Schlüssel übergibt. Der monatliche Bericht der NCC Group, veröffentlicht am 23. September, verzeichnete im August 1.073 Ransomware-Opfer, einen Rekord für 2026, in einem Umfeld, in dem der initiale Zugang das umkämpfteste Produkt des digitalen Verbrechens ist.
Amerikanische Gesundheit und Kundencenter im Ausland
In den USA ist der Gesundheitssektor von einer Reihe von Vorfällen betroffen, die Anbieter, Dienstleister und Technologieunternehmen treffen, die miteinander verbunden sind. Astrana nimmt genau diese Zwischenposition ein: Sie arbeitet mit Ärzten und Anbietern und daher umfasst ihre Liste von Benachrichtigungen Partnerzahler sowie Regulierungsbehörden. In solchen Unternehmen kann ein unbefugter Zugang Daten von Patienten, die dem HIPAA unterliegen, sowie Informationen zur Abrechnung Dritter gleichzeitig exponieren.
Dasselbe Risiko breitet sich entlang der Kette von Dienstleistern aus. Ein großer Teil des Kundenservice, des Erlösmanagements und der IT-Unterstützung amerikanischer Gesundheitsunternehmen wird in Servicezentren in Indien und auf den Philippinen betrieben, die von Anbietern wie Cognizant, Infosys und Gruppen, die auf Gesundheits-BPO spezialisiert sind, betrieben werden. Ein Angreifer, der einen Mitarbeiter in Manila oder Chennai überzeugt, dass er ein Executive in Los Angeles ist, nutzt dieselbe Schwachstelle, mit einer zusätzlichen Schicht von Distanz und Zeitzone, die die Überprüfung über einen alternativen Kanal erschwert.
Für Dienstleister in diesen Ländern verstärkt der Fall eine Anforderung, die amerikanische Kunden bereits in Verträgen beginnen, einzuführen: Verfahren zur Identitätsüberprüfung für die Rücksetzung von Anmeldeinformationen, die nicht von Telefonen oder Informationen abhängen, die ein Verbrecher in sozialen Medien finden kann.
Die Frage an den Vorstand
Das 8-K von Astrana ist kurz und lässt die Schadenshöhe offen. Der Punkt, der für andere Vorstände von Interesse ist, liegt zuvor: Wie viele Personen im Unternehmen können mit einem glaubwürdigen Anruf ein privilegiertes Passwort zurücksetzen oder ein Remote-Zugriffstool autorisieren, und mit welcher Überprüfung? In vielen Organisationen umfasst die Antwort Dutzende von externen Mitarbeitern und keine Rückmeldung über einen unabhängigen Kanal. Es ist diese Berechnung und nicht das Budget für Tools, die die Exposition gegenüber der Art von Angriff, die Astrana gerade gemeldet hat, bestimmt.