Operatori sanitari e ospedali sotto l'assedio del ransomware

Mentre i gruppi di ransomware non hanno risparmiato nessun settore, gli aggressori hanno posto il settore sanitario in cima ai loro obiettivi preferiti. L'ondata di ospedali vittime di violazioni ha sollevato preoccupazioni tra le autorità di regolamentazione e i funzionari governativi che si sono mossi per far passare nuove politiche e leggi.

CommonSpirit, uno dei più grandi sistemi sanitari senza scopo di lucro negli Stati Uniti, ha pubblicato a avviso di violazione della privacy il 1 dicembre, avvertendo che 623,774 cartelle cliniche sono state esposte dopo una violazione del 16 settembre. La rete nazionale di 140 ospedali e oltre 1,000 strutture di assistenza in 21 stati ha confermato che gli aggressori ransomware hanno avuto accesso alle cartelle dei pazienti, ma ha affermato che al momento non ci sono prove che le informazioni personali sono state utilizzate in modo improprio. I pazienti potenzialmente colpiti erano quelli curati presso il Franciscan Medical Group e il Franciscan Health di CommonSpirit a Washington. I quattro ospedali sono ora conosciuti come Virginia Mason Franciscan Health, un'affiliata di CommonSpirit.

Il picco attuale continua l'aumento del 35% degli attacchi complessivi dello scorso anno sugli operatori sanitari rispetto al 2020, secondo Critical Insight, un fornitore di servizi di rilevamento e risposta gestiti (MDR). Secondo Critical Insight, lo scorso anno gli attacchi informatici agli operatori sanitari hanno colpito 45 milioni di persone, rispetto ai 34 milioni del 2020 e ai 14 milioni del 2018.

A ottobre, l'Internet Crime Complaint Center (ICA) dell'FBI ha riferito che tra 16 infrastrutture critiche, il settore sanitario e della sanità pubblica rappresenta 25% dei reclami ransomware. Il Dipartimento della salute e dei servizi umani (HHS) degli Stati Uniti ad aprile ha emesso un avviso su Hive, un aggressivo gruppo di ransomware che ha preso di mira le organizzazioni sanitarie.

L'HHS Health Sector Cybersecurity Coordination Center (HC3) ha osservato che Hive è noto per essere operativo dal giugno 2021 e "in quel periodo è stato molto aggressivo nel prendere di mira il settore sanitario statunitense".

Un altro recente gruppo di hacker emerso che sta prendendo di mira gli operatori sanitari con ransomware è Daixin Team. A ottobre, l'HHS si è unito alla Cybersecurity and Infrastructure Agency (CISA) e all'FBI con un avvertimento che Team Daixin sta perseguendo attivamente gli operatori sanitari con ransomware che utilizza Babuk Locker, codice sorgente che crittografa i file nei server VMware EXSi.

Il ransomware di Daixin Team crittografa le cartelle cliniche elettroniche, la diagnostica, l'imaging e i servizi intranet degli operatori sanitari, secondo l'advisory. Il gruppo ha anche esfiltrato informazioni di identificazione personale (PII) e informazioni sulla salute del paziente (PHI) e ha estorto riscatti minacciando di rilasciare tali dati.

Impatto del ransomware sulla sanità

Durante l' Innovatori dirompenti CIO Forum a New York all'inizio di questo mese, una conferenza incentrata sulla tecnologia emergente per il settore sanitario, una tavola rotonda ha affrontato l'ondata di ransomware. "Oggi il ransomware è probabilmente il problema di sicurezza n. 1 per la maggior parte delle organizzazioni sanitarie", ha affermato Christopher Kunney, SVP dell'innovazione digitale presso Divurgent, una società di consulenza IT per le organizzazioni sanitarie.

Kunney, uno dei relatori, ha avvertito che il ransomware rimarrà una minaccia crescente nel settore sanitario "poiché espandiamo l'impronta al di fuori delle quattro mura dell'ospedale e guardiamo a cose come l'assistenza virtuale e altre tecnologie che ora possono stare in cima alla nostra rete infrastruttura."

Saket Modi, che ha moderato il panel ed è co-fondatore e CEO di Safe Security, ha osservato che uno dei primi decessi noti attribuito al ransomware, un neonato in Alabama, avvenuto lo scorso anno. “Un attacco ransomware non è più solo finanziario e reputazionale; può avere un impatto reale sulla vita delle persone", ha affermato Modi. Oltre al rischio di esfiltrazione di dati, gli attacchi ransomware rappresentano un rischio per l'erogazione dell'assistenza ai pazienti, in particolare quando gli aggressori accedono ai sistemi responsabili di mantenere in vita i pazienti.

“Dobbiamo renderci conto che la sicurezza informatica non riguarda solo la sicurezza dei dati; è anche una questione di vita o di morte”, ha aggiunto Michael Archuleta, CIO del Mt. San Rafael Hospital and Clinics di Trinidad, Colo.

Notando che il COVID ha costretto gli operatori sanitari ad accelerare i loro sforzi di trasformazione digitale negli ultimi anni, molte organizzazioni non hanno affrontato adeguatamente i rischi per la sicurezza associati alla tecnologia e ai sistemi di implementazione che sono ora accessibili.

"Viviamo nell'era digitale dell'assistenza sanitaria e dobbiamo iniziare a incorporare i risultati tecnologici delle iniziative che migliorano meglio la nostra esperienza complessiva e migliorano meglio i risultati dei pazienti, ma anche mantenere al sicuro l'intera organizzazione che va avanti", ha affermato Archuleta.

Legge sulla sicurezza informatica sanitaria del 2022

Cercando di arginare i crescenti attacchi, il rappresentante Jason Crow (D-CO) ha sponsorizzato l'Healthcare Cybersecurity Act. Il disegno di legge, introdotto a settembre, richiederebbe alla CISA di collaborare con HHS per migliorare la sicurezza informatica nel settore sanitario.

Secondo il riepilogo del disegno di legge, CISA e HHS fornirebbero risorse "inclusi indicatori di minaccia informatica e misure di difesa adeguate, disponibili per le entità federali e non federali che ricevono informazioni attraverso i programmi HHS".

Il disegno di legge prevede inoltre che la CISA fornisca formazione sulla sicurezza informatica e strategie di rimedio a coloro che possiedono o forniscono servizi sanitari. Archuleta, il CIO del Mt. San Rafael Hospital and Clinics, lo ha detto 91% degli attacchi ransomware mirati provenivano da e-mail di phishing dirette ai dipendenti, molti dei quali non hanno ricevuto una formazione adeguata. "Non ci stiamo concentrando sullo sviluppo di un firewall umano all'interno della nostra organizzazione", ha affermato.

Nel frattempo, il senatore Mark Warner (D-VA) ha pubblicato a Libro bianco sulle opzioni politiche che dettaglia le minacce alla sicurezza informatica esistenti e le potenziali risposte del governo federale. Il documento attinge alla ricerca del personale di Warner e degli esperti di sicurezza informatica e a un'ampia serie di opzioni per il governo federale per collaborare con gli operatori sanitari per migliorare le loro capacità di protezione informatica e un progetto per il recupero dagli attacchi.

"Il settore sanitario è particolarmente vulnerabile agli attacchi informatici e la transizione verso una migliore sicurezza informatica è stata dolorosamente lenta e inadeguata", Warner ha detto in una dichiarazione. "Il governo federale e il settore sanitario devono trovare un approccio equilibrato per far fronte alle terribili minacce, come partner con responsabilità condivise".