Während Ransomware-Gruppen keine Industrie verschont haben, haben Angreifer den Gesundheitssektor an die Spitze ihrer bevorzugten Ziele gesetzt. Die Zunahme von Krankenhäusern, die Opfer von Verstößen werden, hat bei Aufsichtsbehörden und Regierungsbeamten Bedenken geweckt, die sich bemüht haben, neue Richtlinien und Gesetze durchzusetzen.
CommonSpirit, eines der größten gemeinnützigen Gesundheitssysteme in den USA, veröffentlichte a Hinweis auf Datenschutzverletzung am 1. Dezember und warnte davor, dass 623,774 Patientenakten nach einer Verletzung am 16. September offengelegt wurden. Das landesweite Netzwerk von 140 Krankenhäusern und über 1,000 Pflegeeinrichtungen in 21 Bundesstaaten bestätigte, dass Ransomware-Angreifer auf die Patientenakten zugegriffen haben, sagte jedoch, dass es derzeit keine Beweise gibt dass persönliche Daten missbraucht wurden. Die potenziell betroffenen Patienten wurden von der Franciscan Medical Group von CommonSpirit und Franciscan Health in Washington behandelt. Die vier Krankenhäuser sind jetzt als Virginia Mason Franciscan Health bekannt, eine Tochtergesellschaft von CommonSpirit.
Der aktuelle Spike baut sich auf 35 % Anstieg der Angriffe insgesamt im letzten Jahr zu Gesundheitsdienstleistern im Vergleich zu 2020, laut Critical Insight, einem Managed Detection and Response (MDR)-Dienstleister. Laut Critical Insight waren im vergangenen Jahr 45 Millionen Menschen von Cyberangriffen auf Gesundheitsdienstleister betroffen, verglichen mit 34 Millionen im Jahr 2020 und 14 Millionen im Jahr 2018.
Im Oktober berichtete das FBI Internet Crime Complaint Center (ICA), dass unter 16 kritischen Infrastrukturen das Gesundheitswesen und der öffentliche Gesundheitssektor entfallen 25 % der Ransomware-Beschwerden. Das US-Gesundheitsministerium (HHS) hat im April a Warnung vor Hive, eine aggressive Ransomware-Gruppe, die Gesundheitsorganisationen ins Visier genommen hat.
Das HHS Health Sector Cybersecurity Coordination Center (HC3) stellte fest, dass Hive bekanntermaßen seit Juni 2021 in Betrieb ist und „in dieser Zeit sehr aggressiv auf den US-Gesundheitssektor abzielt“.
Eine weitere kürzlich aufgetauchte Hackergruppe, die Gesundheitsdienstleister mit Ransomware angreift, ist Daixin Team. Im Oktober schloss sich HHS der Cybersecurity and Infrastructure Agency (CISA) und dem FBI mit einer beratenden Warnung an Daixin-Team verfolgt aktiv Gesundheitsdienstleister mit Ransomware, die Babuk Locker verwendet, einen Quellcode, der Dateien auf VMware EXSi-Servern verschlüsselt.
Die Ransomware des Daixin-Teams verschlüsselt die elektronischen Gesundheitsakten, Diagnose-, Bildgebungs- und Intranetdienste von Gesundheitsdienstleistern, so die Empfehlung. Die Gruppe hat auch persönlich identifizierbare Informationen (PII) und Patientengesundheitsinformationen (PHI) exfiltriert und Lösegeld erpresst, indem sie mit der Veröffentlichung dieser Daten gedroht hat.
Auswirkungen von Ransomware auf das Gesundheitswesen
Während der Disruptive Innovatoren CIO Forum Anfang dieses Monats in New York, eine Konferenz, die sich auf neue Technologien für die Gesundheitsbranche konzentrierte, eine Podiumsdiskussion befasste sich mit dem Anstieg von Ransomware. „Ransomware ist heute wahrscheinlich das Sicherheitsproblem Nr. 1 für die meisten Gesundheitsorganisationen“, sagte Christopher Kunney, SVP für digitale Innovation bei Divurgent, einem IT-Beratungsunternehmen für Gesundheitsorganisationen.
Kunney, einer der Diskussionsteilnehmer, warnte davor, dass Ransomware eine wachsende Bedrohung im Gesundheitswesen bleiben wird, „da wir den Fußabdruck außerhalb der vier Wände des Krankenhauses erweitern und uns Dinge wie virtuelle Pflege und andere Technologien ansehen, die jetzt auf unserem Netzwerk aufbauen können Infrastruktur.“
Saket Modi, der das Panel moderierte und Mitbegründer und CEO von Safe Security ist, bemerkte, dass einer der erste bekannte Todesfälle Ransomware zugeschrieben, ein Neugeborenes in Alabama, ereignete sich letztes Jahr. „Ein Ransomware-Angriff ist nicht mehr nur finanziell und rufschädigend; es kann sich tatsächlich auf das Leben der Menschen auswirken“, sagte Modi. Neben dem Risiko der Datenexfiltration stellen Ransomware-Angriffe ein Risiko für die Patientenversorgung dar, insbesondere wenn Angreifer auf Systeme zugreifen, die dafür verantwortlich sind, Patienten am Leben zu erhalten.
„Wir müssen erkennen, dass es bei Cybersicherheit nicht nur um Datensicherheit geht; es geht auch um Leben und Tod“, fügte Michael Archuleta, CIO des Mt. San Rafael Hospital and Clinics in Trinidad, Colorado, hinzu.
In Anbetracht dessen, dass COVID Gesundheitsdienstleister in den letzten Jahren gezwungen hat, ihre Bemühungen um die digitale Transformation zu beschleunigen, haben viele Organisationen die Sicherheitsrisiken im Zusammenhang mit den jetzt verfügbaren Implementierungstechnologien und -systemen nicht angemessen angegangen.
„Wir leben im digitalen Zeitalter des Gesundheitswesens und müssen damit beginnen, Initiativen zu technologischen Ergebnissen zu integrieren, die unsere Gesamterfahrung verbessern und die Patientenergebnisse besser verbessern, aber auch die Zukunft der gesamten Organisation schützen“, sagte Archuleta.
Healthcare Cybersecurity Act von 2022
Um die zunehmenden Angriffe einzudämmen, sponserte Rep. Jason Crow (D-CO) den Healthcare Cybersecurity Act. Der im September eingeführte Gesetzentwurf würde die CISA dazu verpflichten, mit HHS zusammenzuarbeiten, um die Cybersicherheit in der Gesundheitsbranche zu verbessern.
Laut die Zusammenfassung der Rechnung, CISA und HHS würden Ressourcen bereitstellen, „einschließlich Cyber-Bedrohungsindikatoren und angemessener Abwehrmaßnahmen, die föderalen und nicht-föderalen Einrichtungen zur Verfügung stehen, die Informationen über HHS-Programme erhalten“.
Der Gesetzentwurf fordert auch, dass CISA Cybersicherheitsschulungen und Abhilfestrategien für diejenigen anbietet, die Gesundheitsdienste besitzen oder erbringen. Archuleta, der CIO des Mt. San Rafael Hospital and Clinics, sagte das 91 % der gezielten Ransomware-Angriffe stammen aus Phishing-E-Mails, die an Mitarbeiter gerichtet waren, von denen viele nicht ausreichend geschult wurden. „Wir konzentrieren uns nicht auf die Entwicklung einer menschlichen Firewall innerhalb unserer Organisation“, sagte er.
Unterdessen veröffentlichte Senator Mark Warner (D-VA) a Whitepaper zu politischen Optionen die bestehende Cybersicherheitsbedrohungen und mögliche Reaktionen der Bundesregierung aufführt. Das Papier stützt sich auf die Forschung von Warner-Mitarbeitern und Cybersicherheitsexperten sowie auf eine breite Palette von Optionen für die Bundesregierung, um mit Gesundheitsdienstleistern zusammenzuarbeiten, um ihre Cyberschutzfähigkeiten zu verbessern und einen Plan für die Wiederherstellung nach Angriffen zu erstellen.
„Der Gesundheitssektor ist besonders anfällig für Cyberangriffe, und der Übergang zu besserer Cybersicherheit war quälend langsam und unzureichend“, so Warner sagte in einer Erklärung. „Die Bundesregierung und das Gesundheitswesen müssen einen ausgewogenen Ansatz finden, um als Partner mit gemeinsamer Verantwortung den großen Bedrohungen zu begegnen.“
