„Ultrahuman“ teigia, kad įsilaužėliai klientų sveikatos duomenis pasiekė naudodami vidinį įrankį

Nešiojamų sveikatos technologijų startuolis „Ultrahuman“ teigė, kad įsilaužėliai gavo neteisėtą prieigą prie klientų sveikatos duomenų po to, kai per kenkėjišką programą pavogė darbuotojo kredencialus.

Trečiadienį Indijoje įsikūręs startuolis informavo paveiktus klientus apie incidentą el. paštu, nurodydamas, kad pažeidimas įvyko kovo 27 d. ir buvo susijęs su vidinei analizei naudojama sistema. Bendrovė teigė greitai aptikusi įsibrovimą, atjungusi paveiktą sistemą ir atšaukusi bet kokią prieigą.

2019 m. įkurta „Ultrahuman“ parduoda išmaniuosius žiedus ir medžiagų apykaitos sveikatos stebėjimo prietaisus, kurie leidžia vartotojams stebėti tokius rodiklius kaip miegas, aktyvumas ir atsigavimas. Startuolis geriausiai žinomas dėl savo Ring Air, kuris konkuruoja su Oura Ring, ir neseniai pristatė Ring Pro su patobulintais jutikliais ir baterijos veikimo trukme.

Patvirtindamas incidentą, Ultrahuman sakė „TechCrunch“, kad užpuolikai gavo prieigą naudodamiesi kredencialais, pavogtais iš darbuotojo kenkėjiška programa užkrėsto nešiojamojo kompiuterio, todėl buvo pasiekti maždaug 0,1% vartotojų sveikatos duomenys.

Remiantis anksčiau bendrovės praneštais maždaug 700 000 aktyvių vartotojų per mėnesį, tai prilygtų mažiausiai 700 klientų, kurių sveikatos duomenys buvo pasiekti. „Ultrahuman“ šio skaičiaus neginčijo, tačiau atsisakė atskleisti tikslų nukentėjusių klientų skaičių. Bendrovė teigė, kad nebuvo pažeisti jokie slaptažodžiai, mokėjimo informacija, gamybos sistemos ar Ultrahuman Ring įrenginiai.

„Mūsų saugumo perspėjimo sistemos aptiko incidentą per kelias valandas, o pažeidžiamumą greitai pašalinome“, – pranešime „TechCrunch“ sakė „Ultrahuman“ generalinis direktorius Mohitas Kumaras.

Kumaras pridūrė, kad startuolis praneša reguliavimo institucijoms ir delsė informuoti paveiktus vartotojus, kol patikrino visą incidento apimtį ir nustatė, kokie duomenys buvo paveikti.

„Ultrahuman“ atsisakė pasidalinti bet kokia informacija apie tai, ar gavo kokių nors pranešimų iš įsilaužėlių, atsakingų už incidentą, ir pasakyti, kas tiksliai yra „sveikatos duomenys“. Pažeidimas pabrėžia, kaip sveikatingumo stebėjimo priemonės, tokios kaip „Ultrahuman“ ir „Oura“, saugo vartotojų duomenis savo serveriuose taip, kad jų darbuotojai, taip pat vyriausybės ir kenkėjiški įsilaužėliai, galėtų pasiekti klientų sveikatos duomenis.

Startuolis savo svetainėje paskelbtame DUK nurodė, kad grėsmės veikėjas gavo „tik skaitymo“ prieigą prie paveiktos sistemos. Tačiau bendrovė atsisakė patvirtinti, ar jos tyrimas nustatė, ar klientų duomenys buvo išfiltruoti.

„Ultrahuman“ tarp savo investuotojų laiko „Nexus Venture Partners“, „Steadview Capital“ ir „Blume Ventures“. Iki šiol startuolis surinko apie 103 mln. USD, už „Tracxn“.