MyChart ditipu phising untuk curi data dan malware

Epic Systems melalui MyChart serta beberapa rumah sakit memperingatkan meningkatnya pesan palsu yang meniru portal pasien MyChart untuk mencuri informasi login, data pribadi, hingga memicu pemasangan malware. Serangan ini menyasar korban melalui email, teks, telepon, dan situs yang tampak resmi.

Epic menyatakan lonjakan ini bukan akibat masalah keamanan pada platform MyChart, melainkan penyalahgunaan merek yang dipercaya banyak pasien. Peretasan dapat dipicu saat tautan mengarahkan ke halaman palsu alih-alih akun asli.

Menurut Epic, salah satu modus diawali email yang menyebut hasil pemeriksaan medis pasien sudah siap. Pesan menampilkan branding MyChart dan tombol masuk, namun tautannya membuka halaman login palsu yang dirancang menyerupai situs resmi.

Halaman palsu dapat menampilkan bagan medis palsu dan peringatan yang dibuat untuk menimbulkan urgensi agar korban melangkah lebih jauh.

Epic mengatakan laman palsu dalam salah satu variasi meminta verifikasi manusia dengan menekan kombinasi tombol di Windows, lalu memasukkan dan menjalankan kode dari clipboard. Epic menegaskan situs sah tidak meminta tindakan pintasan keyboard untuk verifikasi, memperbaiki, atau membuka akun.

Epic juga mendapati variasi lain pada Agustus, ketika situs palsu menampilkan tabel hasil lab yang mengkhawatirkan serta menawarkan tombol untuk membuka laporan penuh dan diagnosis. Pengguna yang mengklik akan mengunduh program dapat dieksekusi dan diarahkan untuk mengabaikan peringatan keamanan komputer.

Rumah sakit di Florida, sebagaimana disampaikan Naples Daily News, menyebut skema ini menargetkan orang dewasa yang mengelola Medicare, janji temu, serta hasil tes secara daring. Sejumlah fasilitas dilaporkan mencapai 20 institusi, termasuk Tampa General Hospital dan Tallahassee Memorial Healthcare.

Epic menyatakan MyChart tidak menjalankan program hadiah. Message yang menjanjikan produk atau hadiah gratis atas nama MyChart tidak sah, dan hadiah yang meminta pembayaran pada dasarnya adalah proses pembelian.

Dalam satu modus kedua yang didokumentasikan Epic, email menyebut penerima terpilih untuk menerima paket kesehatan Medicare gratis. Pesan mengarahkan ke situs survei yang memuat penghitung mundur, lalu meminta biaya pengiriman kecil setelah “menang”. Pengumpulan data mencakup nama, alamat email, nomor telepon, alamat surat, dan pada tahap akhir informasi kartu kredit.

Epic merekomendasikan pemeriksaan alamat pengirim email secara lengkap serta URL situs sebelum mengklik tautan atau memasukkan informasi. Epic menyarankan pasien membuka aplikasi MyChart atau mengetik alamat resmi melalui situs yang tersimpan, bukan mengikuti tautan dari pesan tak diharapkan.

Jika pengguna sudah terlanjur mengklik tautan namun tidak memasukkan data, Epic menganjurkan menutup laman dan melaporkannya sebagai junk atau phishing. Jika password MyChart dimasukkan, Epic menyarankan reset, dan bila informasi kartu kredit dimasukkan, hubungi bank serta laporkan transaksi sebagai penipuan.

Epic juga menyarankan perangkat yang mengikuti instruksi keyboard atau menjalankan program diputus dari internet dan diperiksa sebelum digunakan mengakses informasi personal, keuangan, atau pekerjaan.

Lee Health menegaskan pasien agar tidak menganggap pesan tersebut sebagai komunikasi resmi fasilitas. Naples Comprehensive Health menyatakan terus memantau situasi dan menjaga perlindungan data pasien.