Dostawcy opieki zdrowotnej i szpitale pod oblężeniem oprogramowania ransomware

Podczas gdy grupy ransomware nie oszczędziły żadnej branży, napastnicy umieścili sektor opieki zdrowotnej na szczycie preferowanych celów. Gwałtowny wzrost liczby szpitali padających ofiarą naruszeń wzbudził obawy wśród organów regulacyjnych i urzędników państwowych, którzy przeforsowali nowe zasady i przepisy.

CommonSpirit, jeden z największych systemów opieki zdrowotnej non-profit w USA, opublikował a zawiadomienie o naruszeniu prywatności 1 grudnia, ostrzegając, że 623,774 16 danych pacjentów zostało ujawnionych po włamaniu 140 września. Ogólnokrajowa sieć 1,000 szpitali i ponad 21 placówek opieki w XNUMX stanach potwierdziła, że ​​osoby atakujące ransomware uzyskały dostęp do danych pacjentów, ale stwierdziły, że obecnie nie ma na to dowodów że dane osobowe zostały wykorzystane niezgodnie z przeznaczeniem. Potencjalnie dotkniętymi chorobą byli pacjenci leczeni w Franciscan Medical Group firmy CommonSpirit i Franciscan Health w Waszyngtonie. Cztery szpitale są obecnie znane jako Virginia Mason Franciscan Health, oddział CommonSpirit.

Obecny wzrost jest kontynuowany zeszłoroczny 35% wzrost ogólnej liczby ataków na świadczeniodawcach w porównaniu z 2020 r., według Critical Insight, dostawcy usług zarządzanego wykrywania i reagowania (MDR). Według Critical Insight cyberataki na dostawców usług medycznych dotknęły w ubiegłym roku 45 milionów osób, w porównaniu z 34 milionami w 2020 roku i 14 milionami w 2018 roku.

W październiku FBI Internet Crime Complaint Center (ICA) poinformowało, że wśród 16 infrastruktur krytycznych sektor opieki zdrowotnej i zdrowia publicznego odpowiada za 25% skarg dotyczących ransomware. Amerykański Departament Zdrowia i Opieki Społecznej (HHS) wydał w kwietniu br ostrzeżenie o Hive, agresywna grupa ransomware, której celem były organizacje opieki zdrowotnej.

Centrum Koordynacji Cyberbezpieczeństwa Sektora Zdrowia HHS (HC3) zauważyło, że wiadomo, że Hive działa od czerwca 2021 r. i „w tym czasie był bardzo agresywny w ataku na amerykański sektor opieki zdrowotnej”.

Inną niedawno wyłonioną grupą hakerów, która atakuje dostawców usług medycznych za pomocą oprogramowania ransomware, jest Daixin Team. W październiku HHS dołączył do Agencji Cyberbezpieczeństwa i Infrastruktury (CISA) oraz FBI z ostrzeżeniem doradczym, że Zespół Daixin aktywnie ściga dostawców usług medycznych za pomocą oprogramowania ransomware, które wykorzystuje Babuk Locker, kod źródłowy do szyfrowania plików na serwerach VMware EXSi.

Oprogramowanie ransomware Daixin Team szyfruje elektroniczną dokumentację medyczną, diagnostykę, obrazowanie i usługi intranetowe dostawców opieki zdrowotnej. Grupa dokonała również eksfiltracji danych osobowych (PII) i informacji o stanie zdrowia pacjenta (PHI) oraz wymusiła okup, grożąc ujawnieniem tych danych.

Wpływ oprogramowania ransomware na służbę zdrowia

Podczas Przełomowi innowatorzy CIO Forum w Nowym Jorku na początku tego miesiąca, konferencja poświęcona nowym technologiom dla branży medycznej, dyskusja panelowa dotyczyła gwałtownego wzrostu oprogramowania ransomware. „Oprogramowanie ransomware jest obecnie prawdopodobnie najważniejszym problemem bezpieczeństwa większości organizacji opieki zdrowotnej” — powiedział Christopher Kunney, starszy wiceprezes ds. innowacji cyfrowych w Divurgent, firmie doradczej ds. IT dla organizacji opieki zdrowotnej.

Kunney, jeden z panelistów, ostrzegł, że oprogramowanie ransomware pozostanie rosnącym zagrożeniem w opiece zdrowotnej „ponieważ rozszerzamy zasięg poza cztery ściany szpitala i przyglądamy się takim rzeczom, jak wirtualna opieka i inne technologie, które mogą teraz znajdować się na szczycie naszej sieci infrastruktura."

Saket Modi, który moderował panel i jest współzałożycielem i dyrektorem generalnym Safe Security, zauważył, że jeden z pierwsze znane zgony przypisywane oprogramowaniu ransomware, nowonarodzonemu w Alabamie, miało miejsce w zeszłym roku. „Atak ransomware ma już nie tylko charakter finansowy i reputacyjny; może mieć rzeczywisty wpływ na życie ludzi” – powiedział Modi. Oprócz ryzyka eksfiltracji danych, ataki ransomware stanowią zagrożenie dla świadczenia opieki nad pacjentem, zwłaszcza gdy osoby atakujące uzyskują dostęp do systemów odpowiedzialnych za utrzymanie pacjentów przy życiu.

„Musimy zdać sobie sprawę, że cyberbezpieczeństwo to nie tylko bezpieczeństwo danych; to także sprawa życia i śmierci” — dodał Michael Archuleta, CIO szpitala i klinik Mt. San Rafael w Trynidadzie w stanie Kolorado.

Biorąc pod uwagę, że w ostatnich latach COVID zmusił dostawców usług medycznych do przyspieszenia działań związanych z transformacją cyfrową, wiele organizacji nie odniosło się odpowiednio do zagrożeń bezpieczeństwa związanych z technologią wdrażania i systemami, które są obecnie dostępne.

„Żyjemy w cyfrowej erze opieki zdrowotnej i musimy zacząć uwzględniać inicjatywy, które niosą ze sobą rozwiązania technologiczne, które lepiej poprawiają nasze ogólne doświadczenia i poprawiają wyniki pacjentów, ale także zapewniają bezpieczeństwo całej organizacji” — powiedział Archuleta.

Ustawa o cyberbezpieczeństwie w opiece zdrowotnej z 2022 r

Chcąc powstrzymać narastające ataki, kongresmen Jason Crow (D-CO) sponsorował ustawę o cyberbezpieczeństwie w opiece zdrowotnej. Ustawa, wprowadzona we wrześniu, wymagałaby od CISA współpracy z HHS w celu poprawy bezpieczeństwa cybernetycznego w branży opieki zdrowotnej.

Zgodnie z podsumowanie projektu ustawy, CISA i HHS zapewniłyby zasoby „w tym wskaźniki zagrożeń cybernetycznych i odpowiednie środki obronne, dostępne dla podmiotów federalnych i niefederalnych, które otrzymują informacje za pośrednictwem programów HHS”.

Ustawa wzywa również CISA do zapewnienia szkoleń z zakresu cyberbezpieczeństwa i strategii naprawczych tym, którzy są właścicielami lub świadczą usługi opieki zdrowotnej. Tak powiedział Archuleta, CIO szpitala i klinik Mt. San Rafael 91% ukierunkowanych ataków ransomware pochodziło z e-maili phishingowych skierowanych do pracowników, z których wielu nie przeszło odpowiedniego szkolenia. „Nie koncentrujemy się na rozwijaniu ludzkiej zapory ogniowej w naszej organizacji” – powiedział.

Tymczasem senator Mark Warner (D-VA) opublikował a białą księgę opcji politycznych który szczegółowo opisuje istniejące zagrożenia bezpieczeństwa cybernetycznego i potencjalne reakcje rządu federalnego. Dokument opiera się na badaniach personelu Warnera i ekspertów ds. cyberbezpieczeństwa oraz na szerokim zestawie opcji współpracy rządu federalnego z podmiotami świadczącymi opiekę zdrowotną w celu poprawy ich możliwości ochrony cybernetycznej oraz planu odzyskiwania po atakach.

„Sektor opieki zdrowotnej jest wyjątkowo podatny na cyberataki, a przejście do lepszego cyberbezpieczeństwa było boleśnie powolne i niewystarczające” — Warner w oświadczeniu. „Rząd federalny i sektor zdrowia muszą znaleźć wyważone podejście, aby stawić czoła straszliwym zagrożeniom, jako partnerzy o wspólnych obowiązkach”.