Ponudniki zdravstvenih storitev in bolnišnice pod obleganjem izsiljevalske programske opreme

Medtem ko skupine izsiljevalskih programov niso prizanesle nobeni industriji, so napadalci zdravstveni sektor postavili na vrh svojih priljubljenih tarč. Povečanje števila bolnišnic, ki so postale žrtve kršitev, je vzbudilo zaskrbljenost med regulatorji in vladnimi uradniki, ki so se odločili za spodbujanje novih politik in zakonodaje.

CommonSpirit, eden največjih neprofitnih zdravstvenih sistemov v ZDA, je objavil obvestilo o kršitvi zasebnosti 1. decembra je opozorilo, da je bilo po vdoru 623,774. septembra razkritih 16 kartotek bolnikov. Nacionalna mreža 140 bolnišnic in več kot 1,000 zdravstvenih ustanov v 21 državah je potrdila, da so napadalci z izsiljevalsko programsko opremo dostopali do kartotek pacientov, vendar je dejalo, da trenutno ni dokazov da so bili osebni podatki zlorabljeni. Potencialno prizadeti pacienti so bili tisti, ki so bili zdravljeni pri CommonSpirit's Franciscan Medical Group in Franciscan Health v Washingtonu. Štiri bolnišnice so zdaj znane kot Virginia Mason Franciscan Health, podružnica CommonSpirit.

Trenutni skok nadgrajuje lanskoletno 35-odstotno povečanje skupnih napadov na ponudnike zdravstvenih storitev v primerjavi z letom 2020, glede na Critical Insight, ponudnika storitev upravljanega odkrivanja in odzivanja (MDR). Po podatkih Critical Insight so kibernetski napadi na ponudnike zdravstvenih storitev lani prizadeli 45 milijonov posameznikov, v primerjavi s 34 milijoni leta 2020 in 14 milijoni leta 2018.

Oktobra je FBI-jev center za pritožbe glede internetnega kriminala (ICA) poročal, da je med 16 kritičnimi infrastrukturami zdravstveni in javni zdravstveni sektor. 25 % pritožb zaradi izsiljevalske programske opreme. Ameriško ministrstvo za zdravje in socialne zadeve (HHS) je aprila izdalo a opozorilo o panju, agresivna skupina izsiljevalskih programov, ki cilja na zdravstvene organizacije.

Koordinacijski center za kibernetsko varnost v zdravstvenem sektorju HHS (HC3) je ugotovil, da je znano, da Hive deluje od junija 2021 in »je bil v tem času zelo agresiven pri ciljanju na zdravstveni sektor v ZDA«.

Druga skupina hekerjev, ki se je nedavno pojavila in cilja na ponudnike zdravstvenih storitev z izsiljevalsko programsko opremo, je Daixin Team. Oktobra se je HHS pridružil Agenciji za kibernetsko varnost in infrastrukturo (CISA) in FBI s svetovalnim opozorilom, da Ekipa Daixin aktivno preganja ponudnike zdravstvenih storitev z izsiljevalsko programsko opremo, ki uporablja Babuk Locker, izvorno kodo, ki šifrira datoteke v strežnikih VMware EXSi.

Izsiljevalska programska oprema Daixin Team šifrira elektronske zdravstvene kartoteke, diagnostiko, slikanje in intranetne storitve izvajalcev zdravstvenih storitev, v skladu s svetovalnim poročilom. Skupina je prav tako pridobila podatke, ki omogočajo osebno identifikacijo (PII) in podatke o zdravstvenem stanju pacientov (PHI) ter izsiljevala odkupnine z grožnjami, da bo objavila te podatke.

Vpliv izsiljevalske programske opreme na zdravstveno varstvo

Med Prelomni inovatorji Forum CIO v New Yorku v začetku tega meseca, konferenca, osredotočena na nastajajočo tehnologijo za zdravstveno industrijo, panelna razprava, ki je obravnavala porast izsiljevalske programske opreme. »Izsiljevalska programska oprema je zdaj verjetno varnostna težava številka 1 za večino zdravstvenih organizacij danes,« je povedal Christopher Kunney, višji podpredsednik za digitalne inovacije pri Divurgentu, IT-svetovalnem podjetju za zdravstvene organizacije.

Kunney, eden od panelistov, je opozoril, da bo izsiljevalska programska oprema ostala vse večja grožnja v zdravstvu, »saj širimo odtis zunaj štirih sten bolnišnice in gledamo na stvari, kot je virtualna oskrba, in druge tehnologije, ki lahko zdaj stojijo na vrhu našega omrežja. infrastruktura."

Saket Modi, ki je moderiral panel in je soustanovitelj ter izvršni direktor podjetja Safe Security, je opozoril, da je eden od prve znane smrti pripisujejo izsiljevalski programski opremi, novorojenčku v Alabami, se je zgodilo lani. »Napad izsiljevalske programske opreme ni več samo finančni in ugledni; lahko dejansko vpliva na življenje ljudi,« je dejal Modi. Napadi z izsiljevalsko programsko opremo poleg tveganja izločitve podatkov predstavljajo tveganje za zagotavljanje oskrbe pacientov, zlasti kadar napadalci dostopajo do sistemov, ki so odgovorni za ohranjanje pacientov pri življenju.

»Zavedati se moramo, da kibernetska varnost ni samo varnost podatkov; gre tudi za vprašanje življenja in smrti,« je dodal Michael Archuleta, CIO bolnišnice in klinike Mt. San Rafael v Trinidadu, Colo.

Glede na to, da je COVID prisilil ponudnike zdravstvenega varstva, da pospešijo svoja prizadevanja za digitalno preobrazbo v zadnjih letih, številne organizacije niso ustrezno obravnavale varnostnih tveganj, povezanih z implementacijsko tehnologijo in sistemi, ki so zdaj dostopni.

»Živimo v digitalni dobi zdravstvenega varstva in začeti moramo vključevati pobude, tehnološke rezultate, ki bolje izboljšajo našo splošno izkušnjo in izboljšajo rezultate pacientov, hkrati pa ohranjajo varnost celotne organizacije, ki napreduje,« je dejal Archuleta.

Zakon o kibernetski varnosti v zdravstvu iz leta 2022

Poslanec Jason Crow (D-CO) je sponzoriral Zakon o kibernetski varnosti v zdravstvu, da bi zaustavil naraščajoče napade. Predlog zakona, predstavljen septembra, bi od CISA zahteval sodelovanje z HHS za izboljšanje kibernetske varnosti v zdravstveni industriji.

Glede na povzetek računa, CISA in HHS bi zagotovila vire, "vključno s kazalniki kibernetske grožnje in ustreznimi obrambnimi ukrepi, ki so na voljo zveznim in nezveznim subjektom, ki prejemajo informacije prek programov HHS."

Predlog zakona tudi zahteva, da CISA zagotovi usposabljanje o kibernetski varnosti in sanacijske strategije za tiste, ki imajo v lasti ali zagotavljajo zdravstvene storitve. Archuleta, vodja informacijske tehnologije bolnišnice in klinik Mt. San Rafael, je dejala 91 % ciljnih napadov z izsiljevalsko programsko opremo izvirajo iz lažnih e-poštnih sporočil, namenjenih zaposlenim, od katerih mnogi niso bili ustrezno usposobljeni. "Ne osredotočamo se na razvoj človeškega požarnega zidu znotraj naše organizacije," je dejal.

Medtem je senator Mark Warner (D-VA) objavil a bela knjiga političnih možnosti ki podrobno opisuje obstoječe grožnje kibernetski varnosti in možne odzive zvezne vlade. Prispevek se opira na raziskave Warnerjevega osebja in strokovnjakov za kibernetsko varnost ter širok nabor možnosti za sodelovanje zvezne vlade s ponudniki zdravstvenega varstva, da bi izboljšali svoje zmogljivosti kibernetske zaščite in načrt za okrevanje po napadih.

"Zdravstveni sektor je edinstveno ranljiv za kibernetske napade, prehod na boljšo kibernetsko varnost pa je bil boleče počasen in neustrezen," Warner je dejal v izjavi. "Zvezna vlada in zdravstveni sektor morata najti uravnotežen pristop za soočanje s hudimi grožnjami kot partnerja z deljeno odgovornostjo."