Mens løsepengevaregrupper ikke har spart noen industri, har angripere plassert helsesektoren på toppen av sine foretrukne mål. Økningen i sykehus som blir ofre for brudd har vakt bekymring blant regulatorer og myndighetspersoner som har flyttet for å presse gjennom ny politikk og lovgivning.
CommonSpirit, et av de største ideelle helsevesenet i USA, postet en varsel om personvernbrudd 1. desember, advarsel om at 623,774 16 pasientjournaler ble avslørt etter et brudd 140. september. Det landsomfattende nettverket av 1,000 sykehus og over 21 pleieinstitusjoner i XNUMX stater bekreftet at ransomware-angripere fikk tilgang til pasientjournalene, men sa at det foreløpig ikke er noen bevis at personopplysninger ble misbrukt. De potensielt berørte pasientene var de som ble behandlet ved CommonSpirit's Franciscan Medical Group og Franciscan Health i Washington. De fire sykehusene er nå kjent som Virginia Mason Franciscan Health, et CommonSpirit-tilknyttet selskap.
Den nåværende toppen bygger videre fjorårets 35 % økning i totale angrep på helsepersonell sammenlignet med 2020, ifølge Critical Insight, en tjenesteleverandør for administrert deteksjon og respons (MDR). I følge Critical Insight påvirket nettangrep på helsepersonell 45 millioner individer i fjor, sammenlignet med 34 millioner i 2020 og 14 millioner i 2018.
I oktober rapporterte FBI Internet Crime Complaint Center (ICA) at blant 16 kritiske infrastrukturer står helsevesenet og den offentlige helsesektoren for 25 % av løsepengevareklagene. Det amerikanske departementet for helse og menneskelige tjenester (HHS) utstedte i april en advarsel om Hive, en aggressiv løsepengevaregruppe som har målrettet helseorganisasjoner.
HHS Health Sector Cybersecurity Coordination Center (HC3) bemerket at Hive er kjent for å ha vært i drift siden juni 2021, og "på den tiden har vært veldig aggressiv når det gjelder å målrette den amerikanske helsesektoren."
En annen nyere hackergruppe som har dukket opp som retter seg mot helsepersonell med løsepengevare, er Daixin Team. I oktober sluttet HHS seg til Cybersecurity and Infrastructure Agency (CISA) og FBI med en rådgivende advarsel om at Daixin-teamet forfølger aktivt helsepersonell med løsepengeprogramvare som bruker Babuk Locker, kildekode som krypterer filer i VMware EXSi-servere.
Daixin Teams løsepengevare krypterer helsepersonells elektroniske helsejournaler, diagnostikk, bildebehandling og intranetttjenester, ifølge rådet. Gruppen har også eksfiltrert personlig identifiserbar informasjon (PII) og pasienthelseinformasjon (PHI) og har presset ut løsepenger ved å true med å frigi disse dataene.
Effekten av løsepengeprogramvare på helsevesenet
Under Disruptive innovatører CIO Forum i New York tidligere denne måneden, en konferanse fokusert på fremvoksende teknologi for helsesektoren, en paneldiskusjon tok for seg økningen i løsepengevare. "Ransomware er nå sannsynligvis det første sikkerhetsproblemet for de fleste helseorganisasjoner i dag," sa Christopher Kunney, SVP for digital innovasjon hos Divurgent, et IT-rådgivningsfirma for helseorganisasjoner.
Kunney, en av paneldeltakerne, advarte løsepengevare vil forbli en økende trussel i helsevesenet "når vi utvider fotavtrykket utenfor sykehusets fire vegger og vi ser på ting som virtuell omsorg og andre teknologier som nå kan sitte på toppen av nettverket vårt. infrastruktur."
Saket Modi, som modererte panelet og er medgründer og administrerende direktør for Safe Security, bemerket at en av første kjente dødsfall tilskrevet løsepengevare, en nyfødt i Alabama, skjedde i fjor. «Et løsepengevareangrep er ikke lenger bare økonomisk og omdømmemessig; det kan ha en faktisk innvirkning på menneskers liv,» sa Modi. Foruten risikoen for dataeksfiltrering, er løsepengevareangrep en risiko for levering av pasientbehandling, spesielt når angripere får tilgang til systemer som er ansvarlige for å holde pasienter i live.
«Vi må innse at cybersikkerhet ikke bare handler om datasikkerhet; det er også et spørsmål om liv og død, sier Michael Archuleta, CIO ved Mt. San Rafael Hospital and Clinics i Trinidad, Colo.
Ved å merke seg at COVID tvang helsepersonell til å akselerere sin digitale transformasjonsinnsats de siste årene, har mange organisasjoner ikke i tilstrekkelig grad adressert sikkerhetsrisikoen knyttet til implementeringsteknologien og systemene som nå er tilgjengelige.
"Vi lever i helsevesenets digitale tidsalder, og vi må begynne å innlemme initiativer, teknologiresultater som bedre forbedrer vår generelle opplevelse og bedre pasientresultater, men som også holder hele organisasjonen trygg fremover," sa Archuleta.
Healthcare Cybersecurity Act av 2022
Rep. Jason Crow (D-CO) ønsket å stoppe de økende angrepene, sponset Healthcare Cybersecurity Act. Lovforslaget, som ble innført i september, vil kreve at CISA samarbeider med HHS for å forbedre cybersikkerheten i helsesektoren.
Ifølge lovforslagets sammendrag, CISA og HHS ville gi ressurser "inkludert indikatorer for cybertrussel og passende forsvarstiltak, tilgjengelig for føderale og ikke-føderale enheter som mottar informasjon gjennom HHS-programmer."
Lovforslaget krever også at CISA skal tilby nettsikkerhetstrening og utbedringsstrategier til de som eier eller yter helsetjenester. Archuleta, CIO ved Mt. San Rafael Hospital and Clinics, sa det 91 % av målrettede løsepengevareangrep kom fra phishing-e-poster rettet mot ansatte, hvorav mange ikke har fått tilstrekkelig opplæring. "Vi fokuserer ikke på å utvikle en menneskelig brannmur i organisasjonen vår," sa han.
I mellomtiden publiserte senator Mark Warner (D-VA) en Hvitbok om policyalternativer som beskriver eksisterende cybersikkerhetstrusler og potensielle svar fra den føderale regjeringen. Papiret trekker på Warners stab og cybersikkerhetseksperters forskning og et bredt sett med alternativer for den føderale regjeringen til å samarbeide med helsepersonell for å forbedre deres cyberbeskyttelsesevner og en blåkopi for å komme seg etter angrep.
"Helsesektoren er unikt sårbar for cyberangrep, og overgangen til bedre cybersikkerhet har vært smertelig langsom og utilstrekkelig," Warner sa i en uttalelse. "Den føderale regjeringen og helsesektoren må finne en balansert tilnærming for å møte de alvorlige truslene, som partnere med delt ansvar."
