Největší úniky dat v dubnu 2025: Rizika narůstají, třetí strany zůstávají slabinou

Duben 2025 přinesl sérii závažných úniků dat, které zasáhly miliony jednotlivců napříč klíčovými sektory, od zdravotnictví přes automobilový průmysl až po kritickou infrastrukturu. Incidenty odhalily, jak nebezpečné mohou být zranitelnosti v e-mailových systémech, špatné konfigurace analytických nástrojů nebo bezpečnostní mezery u třetích stran.

Největším incidentem se stal útok na Yale New Haven Health System, při kterém bylo kompromitováno 5,5 milionu záznamů pacientů. K incidentu došlo 8. března a byl zveřejněn 11. dubna 2025. Útočníci, pravděpodobně prostřednictvím ransomwaru, získali osobní údaje jako jména, adresy, telefonní čísla, rodná čísla nebo čísla zdravotnických záznamů. Přestože elektronické zdravotní záznamy, finanční účty a HR systémy zůstaly nedotčeny, tento incident ukazuje, jak snadno může být narušena důvěra ve zdravotnické instituce. Yale zahájil oznamování postiženým 14. dubna a nabízí monitoring úvěrů těm, jejichž SSN byla ohrožena.

Podobně rozsáhlý byl únik u Blue Shield of California, kde došlo k odhalení 4,7 milionu záznamů v důsledku špatné konfigurace nástroje Google Analytics. Od dubna 2021 do ledna 2024 byly skrze web společnosti neúmyslně odesílány informace do Google Ads, včetně údajů o pojištění, městu, PSČ, rodinné situaci, hledání lékařů a dalších zdravotních datech. Problém byl detekován až v únoru 2025 a ilustruje vážné dopady nesprávně zabezpečené integrace s třetími stranami.

Třetím největším incidentem byl únik dat společnosti VeriSource Services, poskytovatele outsourcingu HR služeb. Zprvu se zdálo, že bylo postiženo 112 000 osob, ale později se ukázalo, že šlo o zhruba 4 miliony zaměstnanců a jejich rodinných příslušníků. Únik byl způsoben kybernetickým útokem již v únoru 2024, ale vyšetřování trvalo až do dubna 2025. Odcizená data zahrnovala jména, adresy, rodná čísla a pohlaví. Společnost nabízí postiženým roční monitoring identity a dosud neexistují důkazy o zneužití dat.

Další rozsáhlý incident se týkal Hertz Corporation, která spolu se značkami Dollar a Thrifty přišla o data více než milionu zákazníků. Útok, potvrzený v únoru 2025, využil zero-day zranitelnosti v platformě pro přenos souborů Cleo, kterou kompromitoval ransomware gang Clop již v říjnu a prosinci 2024. Mezi kompromitovanými daty byly osobní informace, čísla kreditních karet, údaje z řidičských průkazů i některé vládní ID. Síť Hertz samotná napadena nebyla – incident se odehrál skrze zprostředkovatele, což podtrhuje riziko dodavatelských řetězců.

Ani menší organizace nebyly ušetřeny. Alternate Solutions Health Network přišla o údaje téměř 94 000 lidí kvůli kompromitaci e-mailového účtu, který obsahoval citlivá zdravotní data a informace o léčbě. Únik byl objeven v únoru a zveřejněn v dubnu 2025. Podobně PJM Interconnection, provozovatel největší elektrické přenosové sítě v Severní Americe, čelil úniku dat přes 4 000 zákazníků. Přestože rozsah byl omezený, cíl útoku – kritická infrastruktura – znepokojuje z hlediska energetické bezpečnosti.

V neposlední řadě stojí za zmínku i incident ve společnosti WK Kellogg Co, kde byl opět zneužit systém Cleo. Útočníci kompromitovali HR data, včetně jmen a rodných čísel, přičemž rozsah incidentu stále není plně znám. Společnost nabízí roční ochranu identity a incident spadá do širší vlny útoků vedených skupinou Clop.

Tato série incidentů ukazuje několik důležitých trendů: zdravotnictví zůstává extrémně zranitelné, třetí strany představují zásadní riziko, a kritická infrastruktura se stále častěji stává cílem sofistikovaných útoků. Exponovaná data – ať už jde o zdravotní záznamy, finanční informace nebo identifikační údaje – významně zvyšují riziko krádeže identity, finančního podvodu a narušení soukromí.

Firmy napříč sektory musí posílit svou obranu nejen technologicky, ale i organizačně. Důsledná správa třetích stran, pravidelné penetrační testy, robustní e-mailová ochrana a rychlá forenzní reakce na incidenty nejsou žádným luxusem, ale nezbytností.

Zdroj: securityboulevard.com