Les prestataires de soins de santé et les hôpitaux assiégés par les ransomwares

Alors que les groupes de rançongiciels n'ont épargné aucune industrie, les attaquants ont placé le secteur de la santé en tête de leurs cibles préférées. L'augmentation du nombre d'hôpitaux victimes de violations a suscité des inquiétudes parmi les régulateurs et les responsables gouvernementaux qui ont décidé de faire adopter de nouvelles politiques et législations.

CommonSpirit, l'un des plus grands systèmes de santé à but non lucratif aux États-Unis, a publié un avis de violation de la vie privée le 1er décembre, avertissant que 623,774 16 dossiers de patients avaient été exposés après une violation le 140 septembre. Le réseau national de 1,000 hôpitaux et plus de 21 XNUMX établissements de soins dans XNUMX États a confirmé que les attaquants de rançongiciels avaient accédé aux dossiers des patients, mais a déclaré qu'il n'y a actuellement aucune preuve que des renseignements personnels ont été utilisés à mauvais escient. Les patients potentiellement touchés étaient ceux traités au Franciscan Medical Group de CommonSpirit et à Franciscan Health à Washington. Les quatre hôpitaux sont maintenant connus sous le nom de Virginia Mason Franciscan Health, une filiale de CommonSpirit.

Le pic actuel s'appuie sur l'augmentation de 35 % du nombre total d'attaques l'année dernière sur les prestataires de soins de santé par rapport à 2020, selon Critical Insight, un fournisseur de services de détection et de réponse gérées (MDR). Selon Critical Insight, les cyberattaques contre les prestataires de soins de santé ont touché 45 millions de personnes l'année dernière, contre 34 millions en 2020 et 14 millions en 2018.

En octobre, le FBI Internet Crime Complaint Center (ICA) a signalé que parmi 16 infrastructures critiques, le secteur de la santé et de la santé publique représente 25 % des plaintes relatives aux rançongiciels. Le département américain de la Santé et des Services sociaux (HHS) a publié en avril une avertissement à propos de Hive, un groupe agressif de rançongiciels qui cible les organisations de santé.

Le Centre de coordination de la cybersécurité du secteur de la santé du HHS (HC3) a noté que Hive est connu pour être opérationnel depuis juin 2021, et « pendant cette période, il a été très agressif en ciblant le secteur de la santé américain ».

Daixin Team est un autre groupe de pirates récemment apparu qui cible les prestataires de soins de santé avec des ransomwares. En octobre, le HHS a rejoint la Cybersecurity and Infrastructure Agency (CISA) et le FBI avec un avertissement indiquant que Équipe Daixin poursuit activement les fournisseurs de soins de santé avec un rançongiciel qui utilise Babuk Locker, un code source qui crypte les fichiers dans les serveurs VMware EXSi.

Le ransomware de Daixin Team chiffre les dossiers de santé électroniques, les diagnostics, l'imagerie et les services intranet des prestataires de soins de santé, selon l'avis. Le groupe a également exfiltré des informations personnellement identifiables (PII) et des informations sur la santé des patients (PHI) et a extorqué des rançons en menaçant de divulguer ces données.

Impact des ransomwares sur les soins de santé

Pendant Innovateurs perturbateurs CIO Forum à New York plus tôt ce mois-ci, une conférence axée sur les technologies émergentes pour le secteur de la santé, une table ronde a abordé la flambée des ransomwares. "Les rançongiciels sont désormais probablement le problème de sécurité n°1 pour la plupart des organisations de santé aujourd'hui", a déclaré Christopher Kunney, vice-président directeur de l'innovation numérique chez Divurgent, une société de conseil en informatique pour les organisations de santé.

Kunney, l'un des panélistes, a averti que les ransomwares resteront une menace croissante dans les soins de santé "alors que nous étendons notre empreinte en dehors des quatre murs de l'hôpital et que nous examinons des choses comme les soins virtuels et d'autres technologies qui peuvent désormais s'asseoir au-dessus de notre réseau Infrastructure."

Saket Modi, qui a animé le panel et est co-fondateur et PDG de Safe Security, a noté que l'un des premiers décès connus attribuée à un rançongiciel, un nouveau-né en Alabama, s'est produite l'année dernière. « Une attaque de ransomware n'est plus seulement financière et réputationnelle ; cela peut avoir un impact réel sur la vie des gens », a déclaré Modi. Outre le risque d'exfiltration de données, les attaques de ransomwares constituent un risque pour la prestation des soins aux patients, en particulier lorsque les attaquants accèdent aux systèmes chargés de maintenir les patients en vie.

« Nous devons réaliser que la cybersécurité ne concerne pas seulement la sécurité des données ; c'est aussi une question de vie ou de mort », a ajouté Michael Archuleta, CIO du Mt. San Rafael Hospital and Clinics à Trinidad, Colorado.

Constatant que la COVID a forcé les prestataires de soins de santé à accélérer leurs efforts de transformation numérique ces dernières années, de nombreuses organisations n'ont pas suffisamment pris en compte les risques de sécurité associés à la technologie et aux systèmes de mise en œuvre qui sont désormais accessibles.

"Nous vivons à l'ère numérique des soins de santé, et nous devons commencer à intégrer des initiatives technologiques qui améliorent davantage notre expérience globale et améliorent les résultats pour les patients, mais aussi à sécuriser l'ensemble de l'organisation à l'avenir", a déclaré Archuleta.

Loi de 2022 sur la cybersécurité des soins de santé

Cherchant à endiguer les attaques croissantes, le représentant Jason Crow (D-CO) a parrainé la loi sur la cybersécurité des soins de santé. Le projet de loi, présenté en septembre, obligerait la CISA à collaborer avec le HHS pour améliorer la cybersécurité dans le secteur de la santé.

Selon le résumé de la facture, CISA et HHS fourniraient des ressources "y compris des indicateurs de cyber-menaces et des mesures de défense appropriées, à la disposition des entités fédérales et non fédérales qui reçoivent des informations par le biais des programmes HHS".

Le projet de loi demande également à la CISA de fournir une formation en cybersécurité et des stratégies de remédiation à ceux qui possèdent ou fournissent des services de soins de santé. Archuleta, le directeur informatique de l'hôpital et des cliniques du mont San Rafael, a déclaré que 91 % des attaques ciblées de ransomwares proviennent d'e-mails de phishing adressés aux employés, dont beaucoup n'ont pas reçu de formation adéquate. "Nous ne nous concentrons pas sur le développement d'un pare-feu humain au sein de notre organisation", a-t-il déclaré.

Pendant ce temps, le sénateur Mark Warner (D-VA) a publié un Livre blanc sur les options politiques qui détaille les menaces de cybersécurité existantes et les réponses potentielles du gouvernement fédéral. Le document s'appuie sur les recherches du personnel et des experts en cybersécurité de Warner et sur un large éventail d'options permettant au gouvernement fédéral de collaborer avec les prestataires de soins de santé pour améliorer leurs capacités de cyberprotection et un plan de récupération après les attaques.

"Le secteur de la santé est particulièrement vulnérable aux cyberattaques, et la transition vers une meilleure cybersécurité a été douloureusement lente et inadéquate", a déclaré Warner. déclaré dans un communiqué. « Le gouvernement fédéral et le secteur de la santé doivent trouver une approche équilibrée pour faire face aux graves menaces, en tant que partenaires ayant des responsabilités partagées. »