<div dir="ltr"><a href="https://www.bleepingcomputer.com/news/security/1-million-people-had-their-medical-data-exposed-in-t-ora-breach/">https://www.bleepingcomputer.com/news/security/1-million-people-had-their-medical-data-exposed-in-t-ora-breach/</a><div><br></div><div><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">Primary health organization (PHO) Tū Ora Compass Health from New Zealand disclosed a security breach that led to the exposure of medical and personally identifiable information (PII) of roughly 1 million people.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">PHOs are non-governmental organizations (NGOs) designed to provide support to the provision of fundamental primary health care services, mostly via general practices, to enrolled people.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">The NGO notified the National Cyber Security Centre, Ministry of Health, Police, and other law enforcement agencies of the incident after its discovery on August 5 following the Tū Ora website's defacement.</p><h2 style="box-sizing:border-box;font-family:Georgia,"times new roman",Times,serif;line-height:36px;color:rgb(51,51,51);margin:30px 0px 12px;font-size:26px">Roughly 1 million people affected</h2><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">"Tū Ora holds data on individuals dating back to 2002, from the greater Wellington, Wairarapa, and Manawatu regions. Anyone who was enrolled with a medical center in that period could potentially be affected," says Tū Ora's press security incident advisory.<br style="box-sizing:border-box"><br style="box-sizing:border-box">"The current population of these areas is around 648,000 people, but including those now deceased or who have moved away from the area, the data covers nearly 1 million people."</p><div class="gmail-bc_quote" style="box-sizing:border-box;padding:10px 15px;background:rgb(239,239,239);margin-bottom:15px;border-left:4px solid rgb(66,139,202);font-size:16px;font-family:Roboto,sans-serif;color:rgb(51,51,51)"><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">Tū Ora Compass Health is one of 30 Primary Health Organizations (PHO) in New Zealand. One of the roles of a PHO is to collect and analyze general practice data. Medical centers provide PHOs like Tū Ora Compass Health some limited patient data e.g. details of all those who have had immunizations. [..] Tū Ora also delivers some clinical services such as podiatry, mental health, and diabetes care. Patient information collected as part of delivering these clinical services is contained within the Tū Ora IT systems.</p></div><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">Following the attack, Tū Ora took down the affected servers and started an investigation which led to the discovery of other previously undetected intrusions going back to 2016.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">Ashley Bloomfield, Ministry of Health Director-General of Health, <a href="https://www.health.govt.nz/our-work/emergency-management/cyber-security-incident" target="_blank" style="box-sizing:border-box;background-color:transparent;color:rgb(66,139,202);text-decoration-line:none;outline:none">said</a> in a press conference that "there have been four intrusions by different actors. Two of those would be described as 'hacktivists' and two of them by more sophisticated actors and that's the extent of the information we have."</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">"The unauthorized access has now been identified as affecting, to a greater or lesser degree, five lower North Island-based primary health organizations that have a relationship with Tū Ora," Bloomfield added.</p><h2 style="box-sizing:border-box;font-family:Georgia,"times new roman",Times,serif;line-height:36px;color:rgb(51,51,51);margin:30px 0px 12px;font-size:26px">Exposed patient data</h2><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">While the NGO doesn't know for sure that patient information has been accessed as part of these security incidents, the possibility still exists given that the threat actors behind them had access to all the stored data.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">"We hold data that includes, who is enrolled at which medical center, their National Health Index Number, name, date of birth, ethnicity, and address," <a href="https://www.compasshealth.org.nz/Cyber-Security-Incident" target="_blank" style="box-sizing:border-box;background-color:transparent;color:rgb(66,139,202);text-decoration-line:none;outline:none">says</a> Tū Ora's advisory.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">"We also hold some medical information provided by medical centers to us that we analyze and provide back to the medical centers to support timely quality care. [..] We also hold some organizational financial data for the practices and other health care providers that we work with e.g. invoices and account details, that enable us to pay for services delivered."</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">"For some people, Tū Ora also holds additional clinical information used for health promotion, such as smoking status, for managing chronic conditions like diabetes, or to deliver services," adds the Ministry of Health.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">Luckily, the breached server did not store banking, credit card, or financial info, nor did it store passport numbers, tax numbers, or driver licenses numbers.</p><p style="box-sizing:border-box;margin:15px 0px;font-size:18px;color:rgb(38,38,38);font-family:Georgia,"times new roman",Times,serif;line-height:1.4em;word-break:break-word">In response to the recently discovered security breaches, Tū Ora says that it will be moving its websites to the Microsoft Azure platform and that it will be using the Microsoft 365 suite's Advanced Threat Protection, device and application protection, data loss protection, and full data encryption features.</p></div></div>