Quest Diagnostics: breșă în Quanum LSM, acces la date de pacienți

Quest Diagnostics, unul dintre cele mai mari grupuri americane de analize clinice, a anunțat un acces neautorizat la Quanum Lab Services Manager (Quanum LSM), portalul prin care o parte dintre clienții săi comandă analize și consultă rezultatele. Compania crede că au fost accesate unele dosare de pacienți, dar nu a spus încă câte și de ce tip. Știrea este relatată în mod concordant de SecurityWeek (cu un text Associated Press), BleepingComputer, The Record și TechCrunch.

Ce s-a întâmplat

Potrivit raportului depus la SEC (formularul 8-K), Quest a descoperit accesul pe 21 octombrie 2026 și a activat procedura de răspuns la incidente pentru a limita activitatea, a investiga natura și amploarea evenimentului și a aplica măsuri de remediere. Sunt implicați experți externi în securitate cibernetică, iar autoritățile federale de aplicare a legii au fost informate.

Măsurile operative, descrise în avizul publicat de Quest pe site și preluate de publicații:

• Quanum LSM a fost oprit; clienții sunt rugați să folosească cereri pe hârtie sau, potrivit BleepingComputer, Quanum eLabs pentru a comanda analize și a primi rezultatele. The Record relatează angajamentul companiei de a repune sistemul în funcțiune până vineri, 23 octombrie;
• alte sisteme au fost suspendate preventiv: BleepingComputer menționează Essential Insights și LabHQ;
• potrivit companiei, serviciile pentru clienți nu au fost întrerupte, iar cei care folosesc interfețe directe LIS sau integrări cu fișa medicală electronică (EMR) nu au fost afectați.

Quest a precizat, pentru Associated Press și în aviz, că incidentul nu are legătură cu recentele vulnerabilități PHP care țin ocupate în aceste zile multe echipe de securitate.

Sistemul afectat

Quanum LSM este platforma online pe care medicii, personalul spitalelor și cabinetele medicale o folosesc pentru serviciile de laborator: comandă analize, urmăresc stadiul lor, consultă rezultatele și comandă materiale. TechCrunch adaugă că portalul gestionează și facturarea și păstrează date medicale și de diagnostic ale pacienților împreună cu datele de facturare aferente, iar potrivit materialelor Quest este folosit de aproximativ o jumătate de milion de clinicieni din America de Nord. Quest declară că deservește în fiecare an unul din trei adulți americani.

Este un aspect important: un astfel de portal concentrează într-un singur serviciu web, accesibil miilor de utilizatori externi, datele medicale ale pacienților de la foarte multe unități diferite.

Ce nu se știe încă

Sursele sunt de acord asupra mai multor puncte deschise:

• vectorul de acces: nu a fost comunicat. Un purtător de cuvânt a refuzat să comenteze natura incidentului (The Record); nu se știe dacă e vorba de credențiale furate, de o vulnerabilitate a aplicației sau de altceva. De aceea nu se pot asocia tehnici MITRE ATT&CK specifice;
• începutul activității: Quest nu a spus de când era prezent atacatorul (TechCrunch);
• datele implicate: avizul vorbește despre „informații personale și dosare ale pacienților”, dar tipurile de date și numărul persoanelor sunt încă în curs de stabilire;
• revendicarea: la data articolelor niciun grup nu revendicase atacul (BleepingComputer, The Record), iar Quest nu a spus dacă a primit cereri de răscumpărare.

TechCrunch mai observă că pagina avizului conține codul noindex, care o exclude din motoarele de căutare.

Nu este primul episod pentru Quest: în 2019, datele a aproximativ 11,9 milioane de pacienți au fost afectate de breșa furnizorului de servicii de recuperare a creanțelor American Medical Collection Agency; SecurityWeek amintește și un caz din 2016 cu aproximativ 34.000 de persoane afectate.

De ce contează și în Europa

Quest activează în America de Nord, iar sursele nu indică urmări directe pentru pacienții europeni. Schema este însă frecventă și la noi: laboratoarele, centrele de diagnostic și platformele de raportare expun portaluri web pentru medici, unități partenere și pacienți, adesea administrate de terți.

Pentru unitățile sanitare și laboratoarele care intră sub incidența NIS2, un astfel de incident impune o avertizare timpurie în 24 de ore și notificarea în 72 de ore; fiind vorba de date privind sănătatea, se aplică și obligația din GDPR de a notifica autoritatea de supraveghere în 72 de ore. Cazul Quest arată două elemente care fac diferența: separarea dintre portalul afectat și integrările directe (LIS și EMR), rămase în afara incidentului, și existența unor proceduri alternative (cereri pe hârtie, un al doilea canal), care au permis oprirea sistemului fără blocarea serviciului.

Ce trebuie făcut acum

Dacă organizația ta folosește portaluri externe de laborator sau de raportare:

• verifică ce conturi ale companiei sunt active pe portalurile furnizorilor, închide-le pe cele care nu mai sunt necesare și cere autentificarea cu mai mulți factori;
• cere furnizorului jurnalele de acces ale conturilor tale și caută consultări masive de rezultate, accesări din țări sau la ore neobișnuite, exporturi anormale;
• pregătește o procedură alternativă documentată pentru a comanda analize și a primi rezultate dacă portalul este oprit.

Dacă administrezi un portal cu date medicale:

• monitorizează tiparele de acces: același utilizator care consultă mulți pacienți în scurt timp, sesiuni de la adrese noi, accesări în afara programului;
• ține portalul segmentat față de sistemele interne și de integrările directe și pregătește posibilitatea de a suspenda sistemele conectate, așa cum a făcut Quest;
• verifică dacă apar credențiale ale utilizatorilor portalului în breșe cunoscute și impune schimbarea parolei când se întâmplă;
• aplică actualizările componentelor expuse și verifică periodic suprafața de atac externă.

Cum te poate ajuta ARXDOME

ARX Sentry colectează jurnale și evenimente de pe servere și firewalluri și le grupează pe familii, printre care rafale de încercări de autentificare, autentificări eșuate și accesări nocturne, utile pentru a observa folosirea anormală a conturilor. ARX Expose arată suprafața de atac externă, vulnerabilitățile cunoscute ale serviciilor publice și conturile companiei implicate în breșe. ARX Horizon îmbogățește fiecare eveniment cu țara, operatorul și listele de amenințări, pentru a deosebi mai repede un acces legitim de unul suspect.

Ultima actualizare: 23 octombrie 2026