Die Verfahren führten die Generalstaatsanwaltschaften von Connecticut, New Jersey, New York und Michigan. Setzt das Unternehmen die geforderten Reformen nicht um, werden weitere 9,7 Millionen Dollar an die vier Bundesstaaten fällig, wie das Büro der New Yorker Generalstaatsanwältin Letitia James mitteilte.
Eine Untersuchung des Büros von James ergab, dass die Angreifer mit den Zugangsdaten eines Beschäftigten in die Systeme gelangten. Eine Mehr-Faktor-Authentifizierung zur Verifizierung von Nutzern setzte das Unternehmen demnach nicht ein. In den Monaten nach dem Einbruch sammelte der Angreifer Passwörter ein und griff auf unverschlüsselte Dateien mit geschützten Gesundheitsdaten von Patienten zu. Die eingesetzte Software erkannte und protokollierte die Bewegungen des Angreifers zwar, war den Angaben zufolge aber schlecht konfiguriert und meldete die Aktivität nicht an das Informationssicherheitsteam.
Der Datenabfluss lief so zwei Monate lang ungehindert weiter; von dem Vorfall erfuhr das Unternehmen mutmaßlich erst, als die Angreifer es selbst informierten.
Zu den entwendeten Datensätzen gehörten den Angaben zufolge Namen, Geburtsdaten, Wohnanschriften, Sozialversicherungsnummern, Krankenhaus-Kontonummern, Diagnosen, Versicherungsdaten sowie klinische Informationen aus Transkriptionsdateien, darunter Medikamentennamen sowie Diagnose- und Laborergebnisse.
Der Vergleich verpflichtet Perry Johnson unter anderem dazu,
- ein umfassendes Informationssicherheitsprogramm und Standards für die Reaktion auf Sicherheitsvorfälle aufzubauen,
- Mehr-Faktor-Authentifizierung, Verschlüsselung und ein Passwortmanagement einzuführen,
- jährliche Risikobewertungen durchzuführen,
- ein System für die ordnungsgemäße Erhebung, Nutzung, Aufbewahrung und Vernichtung der erhaltenen Gesundheitsdaten zu etablieren.
Das Unternehmen reagierte nicht auf eine Bitte um Stellungnahme.