IBM遭MOVEit漏洞攻擊，致數百萬美國人健康資訊外流

IBM成文件傳輸平臺MOVEit Transfer攻擊事件最新受害者，也連帶影響至少美國2州的公民醫(yī)保資訊外泄。

科羅拉多州負責州政府醫(yī)保業(yè)務資訊的健康政策與融資業(yè)務部（Colorado Department of Health Care Policy&Financing，HCPF）上周公布，數據處理委外企業(yè)IBM通知，后者所使用的文件傳輸服務MOVEit遭到黑客攻擊，連帶導致409萬州民的醫(yī)保計劃（Medicaid program）數據被竊取。但該機構表示，經過調查該部門或科羅拉多州系統(tǒng)未受影響。

IBM和該州的合約下，利用MOVEit Transfer平臺進行日常的數據傳輸。該州說明，IBM在得知事件后通知該部門并展開調查。根據調查，IBM使用的MOVEit所傳輸的部分HCPF文件，于今年5月28日左右遭未經授權的攻擊者訪問。被訪問的文件包含該州409萬余人醫(yī)保會員資訊，數據涵蓋姓名、社會安全號碼、醫(yī)療資訊、健康保險資訊等。IBM尚未就科羅拉多州事件做出聲明。

MOVEit供應商Progress Software于5月31日公告，MOVEit Transfer的漏洞CVE-2023-34362遭零時差攻擊。之后微軟等安全企業(yè)推測是黑客組織Clop所為。

科羅拉多州并非唯一因IBM的MOVEit系統(tǒng)攻擊被波及的州。上周美國密蘇里州社會福利部也公告，6月間接獲IBM通知，該州Medicaid醫(yī)保計劃會員資訊外泄，類型包括姓名、會員編號、生日、納保范圍及理賠數據。IBM對媒體宣稱MOVEit僅用于IBM顧問服務承攬該州業(yè)務的一小部分，其中只有一小部分包含個人資訊。

密蘇里州政府并未公布外泄數據數量。Techcrunch報道，該州約有600萬人口。

IBM是MOVEit軟件黑客攻擊的最新受害者。根據估計，MOVEit攻擊事件受害企業(yè)組織將近600家，不乏IT或顧問企業(yè)如PwC、Deloitte、Enst&Young、PBI Research Services等。承接美國多州健康與社會保險數據處理的大型IT委外商Maximus，也在7月底通報使用的MOVEit系統(tǒng)發(fā)生安全事件，至少有800到1,100萬人的個人信息，包括社會安全碼及健康資訊遭訪問。

伊利諾州則在6月9日公布自己有用MOVEit，并在接獲FBI安全公告后切斷所有連接進行調查，不過該州未公布數據外泄調查結果。