Oprogramowanie wymuszające okup w służbie zdrowia: zrozumienie rosnącego globalnego zagrożenia dla cyberbezpieczeństwa
Oprogramowanie wymuszające okup to złośliwe oprogramowanie, które infekuje komputer i niszczy dane przy użyciu skomplikowanych algorytmów szyfrujących. W rezultacie zaszyfrowane dane zostają utracone, a cyberprzestępcy żądają okupu za ich przywrócenie, nie dając jednak żadnych gwarancji.
Cyberprzestępcy mogą atakować różne organizacje, a branża opieki zdrowotnej nie jest tu wyjątkiem. W tym wpisie na blogu omówiono cyberataki w sektorze opieki zdrowotnej, destrukcyjny charakter oprogramowania wymuszającego okup oraz sposoby ochrony danych przed nim.
Dlaczego oprogramowanie wymuszające okup atakuje placówki służby zdrowia
Oprogramowanie wymuszające okup atakuje placówki służby zdrowia ze względu na charakter danych, którymi zarządzają i które przechowują. Nowoczesne szpitale, kliniki, laboratoria i inne placówki służby zdrowia intensywnie korzystają z systemów cyfrowych do przeprowadzania diagnostyki, przechowywania dokumentacji medycznej i wykonywania badań. Pracownicy służby zdrowia muszą mieć dostęp do tych systemów, aby wykonywać niezbędne, a czasem ratujące życie czynności.
Cyberprzestępcy uważają, że atakując organizacje opieki zdrowotnej i uniemożliwiając dostęp do danych za pomocą oprogramowania wymuszającego okup, ofiary nie mają innego wyboru, jak tylko zapłacić okup, aby szybko odzyskać dostęp do swoich danych. Stawka jest wysoka, a pacjenci mogą umrzeć bez pomocy medycznej, gdy systemy cyfrowe w szpitalu nie działają.
Dokumentacja medyczna stanowi cenne dane dla przestępców, ponieważ zawiera informacje osobowe, takie jak adresy, numery telefonów, adresy e-mail, inne identyfikatory osobowe, informacje o ubezpieczeniu i historię medyczną. Atakujący mogą wykraść te dane przed ich zniszczeniem, aby wykorzystać je w spersonalizowanych atakach. Informacje dotyczące badań i rozwoju (takie jak opracowywanie szczepionek lub nowych leków) są również cenne, a koszt ich utraty może być zbyt wysoki.
Ponadto większość organizacji opieki zdrowotnej przeznacza większość swoich budżetów na sprzęt medyczny, a cyberbezpieczeństwo ma niższy priorytet. Potrzebne są dodatkowe inwestycje, aby zapewnić lepsze cyberbezpieczeństwo i zapobiec wykorzystywaniu przez hakerów istniejących luk w zabezpieczeniach do przeprowadzania cyberataków na służbę zdrowia.
Co więcej, organizacje z branży opieki zdrowotnej znajdują się pod presją instytucji regulacyjnych, które nakładają kary za nieprzestrzeganie przepisów. Atakujący zakładają, że ten czynnik finansowy może pomóc im w uzyskaniu okupu od ofiar.
Najnowsze ataki oprogramowania wymuszającego okup w służbie zdrowia: przykłady z całego świata
Poniżej można zapoznać się z przykładami ataków oprogramowania wymuszającego okup na organizacje opieki zdrowotnej z całego świata.
Change Healthcare (luty 2024 r.). Atak oprogramowania wymuszającego okup przeprowadzony przez grupę ALPHV/BlackCat zakłócił przetwarzanie roszczeń i systemy płatności, wpływając na znaczną część amerykańskiego systemu opieki zdrowotnej. Naruszenie bezpieczeństwa ujawniło wrażliwe dane potencjalnie jednej trzeciej wszystkich obywateli USA i spowodowało koszty przekraczające 1 miliard dolarów.
Ascension Healthcare (maj 2024 r.). Ascension, jeden z największych systemów opieki zdrowotnej typu non-profit w USA, padł ofiarą ataku oprogramowania wymuszającego okup, które zakłóciło działanie elektronicznej dokumentacji medycznej i usług diagnostycznych w 120 szpitalach należących do sieci. Incydent ten spowodował opóźnienia w opiece nad pacjentami oraz znaczne straty finansowe.
Rite Aid (czerwiec 2024 r.). Sieć aptek padła ofiarą naruszenia bezpieczeństwa danych, w wyniku którego ujawniono dane osobowe około 2,2 miliona osób, w tym imiona i nazwiska, adresy oraz numery praw jazdy. Do ataku przyznała się grupa RansomHub. Głównymi negatywnymi konsekwencjami tego ataku są pozwy sądowe i straty finansowe.
Synnovis (czerwiec 2024 r.). Atak oprogramowania wymuszającego okup na sektor opieki zdrowotnej przeprowadzony przez grupę Qilin był wymierzony w firmę Synnovis, dostawcę usług patologicznych dla brytyjskiej służby zdrowia (NHS). Oprogramowanie wymuszające okup zaszyfrowało kluczowe dane organizacji. Naruszenie bezpieczeństwa doprowadziło do odwołania ponad 1100 operacji oraz ujawnienia prawie 400 GB wrażliwych danych medycznych, co spowodowało straty finansowe w wysokości około 32,7 mln funtów.
Szpital Dziecięcy Alder Hey (listopad 2024 r.). Grupa INC Ransom twierdziła, że wykradła dane ze szpitala w Wielkiej Brytanii, w tym dokumentację pacjentów i informacje dotyczące zamówień. Szpital prowadzi dochodzenie w sprawie naruszenia we współpracy z National Crime Agency.
MediSecure (listopad 2023 r.). Atak na ten system recept elektronicznych dostawca w Australii powodował ujawnienie danych osobowych i medycznych około 12,9 mln osób. Naruszenie pozostawało niewykryte do maja 2024 r. i doprowadziło do postawienia MediSecure w stan dobrowolnej administracji.
Centrum Szpitalne Uniwersytetu w Zagrzebiu (czerwiec 2024 r.). Grupa oprogramowania wymuszającego okup LockBit zaatakowała największą placówkę medyczną w Chorwacji, zakłócając jej działalność z powodu niedostępności danych i systemów komputerowych. Grupa twierdziła, że wykradła dużą liczbę plików, w tym dokumentację medyczną.
Jak widać, oprogramowanie wymuszające okup może:
- Szyfrować/niszczyć dane i uniemożliwiać korzystanie z systemów cyfrowych.
- Potajemnie wykraść dane.
Koszt oprogramowania wymuszającego okup w służbie zdrowia
Liczba ataków oprogramowania wymuszającego okup na całym świecie rośnie z roku na rok. W 2024 r. grupy oprogramowania wymuszającego okup ogłosiły, że przeprowadziły z powodzeniem 5461 ataków oprogramowania wymuszającego okup, a zaatakowane organizacje potwierdziły 1204 ataki oprogramowania wymusz Większość ataków została przeprowadzona na instytucje w Europie i Ameryce Północnej. Średnia kwota okupu w 2024 r. wyniosła 3,5 mln dolarów, a suma zarejestrowanych płatności na rzecz cyberprzestępców wyniosła około 133,5 mln dolarów.
Jeśli chodzi o ataki oprogramowania wymuszającego okup w sektorze opieki zdrowotnej, w 2024 r. odnotowano 181 potwierdzonych ataków. Według The HIPAA Journal średnia kwota okupu wyniosła 5,7 mln dolarów. Serwis „Cyber Insurance News” podał, że 67% organizacji z sektora opieki zdrowotnej padło ofiarą ataków oprogramowania wymuszającego okup, w porównaniu z 60% w 2023 r.
65% organizacji działających w sektorze opieki zdrowotnej zgłosiło, że żądania okupu przekroczyły 1 mln dolarów, a 35% stanęło w obliczu żądań na kwotę ponad 5 mln dolarów. Wzrosły również koszty odzyskiwania sprawności po ataku oprogramowania wymuszającego okup: 2,57 mln dolarów w 2024 r., w porównaniu z 2,2 mln dolarów w 2023 r. i dwukrotnym wzrostem od 2021 r.
Typowe wektory ataków oprogramowania wymuszającego okup w środowiskach medycznych
Ważne jest, aby znać typowe wektory ataków oprogramowania wymuszającego okup w środowiskach medycznych. Informacje te mogą pomóc w ograniczeniu ryzyka i złagodzeniu problemów. Większość metod jest identyczna z ogólnymi podejściami stosowanymi przez cyberprzestępców.
E-maile phishingowe są najczęstszą metodą rozpoczynania ataków oprogramowania wymuszającego okup na organizacje opieki zdrowotnej. Złośliwe załączniki, dokumenty Microsoft Office zawierające złośliwe makra oraz linki do złośliwych stron internetowych są powszechnie wykorzystywane do instalowania oprogramowania wymuszającego okup w placówkach opieki zdrowotnej za pośrednictwem komputerów użytkowników końcowych. Te wiadomości e-mail często podszywają się pod dostawców, administratorów, a nawet wewnętrzne działy. Atakujący wykorzystują techniki socjotechniczne, aby wywołać poczucie pilności i stworzyć punkt wejścia.
Luki w zabezpieczeniach pulpitu zdalnego to kolejna powszechnie stosowana metoda infekowania komputerów oprogramowaniem wymuszającym okup. Cyberprzestępcy wykorzystują luki w protokołach i oprogramowaniu pulpitu zdalnego do przeprowadzania ataków. Niewłaściwa konfiguracja usług pulpitu zdalnego oraz słabe hasła i ustawienia zabezpieczeń mogą otworzyć drogę dla oprogramowania wymuszającego okup w organizacjach opieki zdrowotnej. Atakujący skanują w poszukiwaniu otwartych portów RDP, wykorzystują metodę brute force lub skradzione dane uwierzytelniające i uzyskują bezpośredni dostęp do systemów.
Luki w zabezpieczeniach oprogramowania . Atakujący mogą wykorzystywać luki w zabezpieczeniach oprogramowania w systemach operacyjnych, aplikacjach i innym oprogramowaniu. Specjalistyczne oprogramowanie medyczne może zawierać znane luki w zabezpieczeniach, a atakujący mogą je wykorzystać do zainstalowania oprogramowania wymuszającego okup na komputerach, rozprzestrzeniania go i zniszczenia danych. Najbardziej niebezpieczne są luki typu zero-day, które są nowe i nieznane dostawcom, ale wykorzystywane przez hakerów.
Zainfekowane pamięci USB . Złośliwy podmiot może podłączyć zainfekowaną pamięć USB do portu USB komputera w łatwo dostępnym miejscu w placówce medycznej. Może to spowodować zainfekowanie komputera oprogramowaniem wymuszającym okup i rozprzestrzenienie go w sieci organizacji.
Uwierzytelnianie . Słabe hasła i skradzione dane uwierzytelniające są wykorzystywane do logowania się do systemu i instalowania oprogramowania wymuszającego okup. Cyberprzestępcy mogą wykorzystywać dane z poprzednich naruszeń bezpieczeństwa, aby uzyskać dostęp do komputerów i sieci.
Najlepsze rozwiązania w zakresie zapobiegania oprogramowaniu wymuszającemu okup w służbie zdrowia
Wprowadź poniższe najlepsze rozwiązania, aby chronić swoje dane i zapobiegać atakom ransomware w placówkach służby zdrowia. Środki ochrony przed oprogramowaniem wymuszającym okup wymagają wielowarstwowego podejścia:
- Zwiększ bezpieczeństwo e-maila . Skonfiguruj filtry antyspamowe oraz ochrona e-maila systemy ograniczające próby phishingu. Należy edukować użytkowników, aby potrafili rozpoznawać podejrzane wiadomości e-mail i linki. Użytkownicy powinni zgłaszać je administratorom. Można korzystać z piaskownic dla załączników e-mailowych.
- Należy korzystać z aktualnego oprogramowania antywirusowego . Należy zainstalować oprogramowanie antywirusowe od renomowanego dostawcy. Oprogramowanie antywirusowe i chroniące przed złośliwym oprogramowaniem może szybko wykrywać oprogramowanie wymuszające okup i usuwać złośliwe pliki, aby zapobiec infekcji. Nowoczesne systemy antywirusowe mogą analizować podejrzaną aktywność w systemie operacyjnym i plikowym, która może być oznaką oprogramowania wymuszającego okup. Systemy zapobiegania włamaniom poprawiają ogólny poziom ochrony przed oprogramowaniem wymuszającym okup.
- Zainstaluj poprawki zabezpieczeń, aby naprawić luki w oprogramowaniu . Nie zapomnij zainstalować poprawek zabezpieczeń w systemach operacyjnych, platformach elektronicznej dokumentacji medycznej, systemach PACS/RIS oraz urządzeniach medycznych.
- Zapewnij bezpieczeństwo sieci . Skonfiguruj zaporę sieciową i zamknij nieużywane porty, aby zmniejszyć powierzchnię potencjalnych ataków. Izoluj sieci, aby ograniczyć rozprzestrzenianie się oprogramowania wymuszającego okup w przypadku infekcji. Segmentuj sieci, aby odizolować urządzenia medyczne, systemy administracyjne i publiczne sieci Wi-Fi. Upewnij się, że skonfigurowałeś monitorowanie wykorzystania sieci, dysków i procesorów, ponieważ oprogramowanie wymuszające okup zazwyczaj powoduje duże obciążenie sieci w celu szyfrowania danych.
- Wprowadź skuteczną politykę bezpieczeństwa . Skonfiguruj silne mechanizmy kontroli dostępu z odpowiednimi uprawnieniami, silnymi hasłami i metodami uwierzytelniania (szczególnie w przypadku e-maila). Skonfiguruj uwierzytelnianie wieloskładnikowe dla systemów krytycznych. Rozważ zastosowanie kontroli dostępu na podstawie ról oraz zasady minimalnych uprawnień.
- Edukuj użytkowników . Przeprowadź szkolenia z zakresu cyberbezpieczeństwa dostosowane do scenariuszy występujących w służbie zdrowia. Poinformuj użytkowników o głównych wektorach ataków oprogramowania wymuszającego okup w służbie zdrowia oraz o pierwszych oznakach infekcji. Użytkownicy muszą odłączyć od sieci zainfekowany komputer lub każdy komputer wykazujący podejrzane zachowanie i wyłączyć go, aby zapobiec rozprzestrzenianiu się oprogramowania wymuszającego okup i szyfrowaniu danych. Regularnie przeprowadzaj testy phishingowe dla użytkowników, aby wzmocnić ich czujność.
- Regularnie wykonuj kopie zapasowe danych . Należy regularnie wykonywać kopie zapasowe, konfigurując zaplanowane i zautomatyzowane kopie zapasowe w określonych odstępach czasu. Należy korzystać z Zasada tworzenia kopii zapasowej 3-2-1 w celu przechowywania wielu kopii zapasowych w różnych lokalizacjach. Jeśli oprogramowanie ransomware zniszczy jedną kopię danych, istnieje większa szansa na przywrócenie danych z innej, nienaruszonej kopii. Należy stosować nośniki fizycznie odłączone (air-gapped), takie jak dyski twarde odłączone od źródła lub kasety z taśmą, ponieważ oprogramowanie ransomware nie ma fizycznego dostępu do odłączonych nośników. Skonfigurowanie niezmienność kopii zapasowej zwiększa ochronę przed oprogramowaniem wymuszającym okup, ponieważ nie może ono modyfikować danych niezmiennych.
- Stwórz plan odzyskiwania . Stwórz plan reagowania na incydenty oraz plan odzyskiwania awaryjnego. Plan reagowania na oprogramowanie wymuszające okup powinien zawierać listy kontaktów, protokoły prawne i regulacyjne (np. zgłaszanie naruszeń HIPAA), strategie odzyskiwania i komunikacji.
- Nie płacisz okupu cyberprzestępcom . Płacenie okupu zachęca twórców oprogramowania wymuszającego okup do przeprowadzania kolejnych ataków w celu uzyskania większych zysków. W przypadku infekcji oprogramowaniem wymuszającym okup zaleca się, aby nie płacić atakującym. Organizacje, które płacą okup, nie mają gwarancji, że zaszyfrowane dane zostaną przywrócone ani że skradzione dane nie zostaną przekazane innym osobom.
Rola kopii zapasowych i odzyskiwania awaryjnego w obronie przed oprogramowaniem wymuszającym okup
Kopie zapasowe i odzyskiwanie awaryjne odgrywają kluczową rolę w obronie przed oprogramowaniem wymuszającym okup w służbie zdrowia, zapewniając organizacjom możliwość przywrócenia działalności i danych bez płacenia okupu. Jeśli środki zapobiegawcze nie ochronią oryginalnych danych przed oprogramowaniem wymuszającym okup, można odzyskać dane z kopii zapasowej.
- Odzyskiwanie danych bez płacenia okupu . Podstawową metodą obrony przed oprogramowaniem wymuszającym okup jest możliwość przywrócenia czystych danych z kopii zapasowej, jeśli oryginalna kopia danych uległa uszkodzeniu. Dzięki zweryfikowanym i odizolowanym kopiom zapasowym organizacje opieki zdrowotnej mogą uniknąć płacenia atakującym i wznowić świadczenie usług przy minimalnych stratach.
- Ochrona danych w przypadku zaszyfrowania przez oprogramowanie wymuszające okup . Oprogramowanie wymuszające okup szyfruje (uszkadza) lub usuwa dane. Dzięki rozwiązaniu do ochrony danych organizacje opieki zdrowotnej mogą odzyskać dane, w tym elektroniczną dokumentację medyczną, dane obrazowe (PACS), systemy planowania i rozliczeń.
- Zapewnienie ciągłości działania . Można odzyskać dane i przywrócić dostępność usług w krótkim czasie. Jest to najszybsza metoda odzyskania danych po infekcji oprogramowaniem wymuszającym okup. W rezultacie można zminimalizować przestoje i straty finansowe. Każda minuta przestoju w służbie zdrowia może mieć poważne konsekwencje, takie jak opóźnienia w opiece nad pacjentami, kary prawne i regulacyjne oraz utrata reputacji.
Ważne jest, aby wybrać niezawodne rozwiązanie do ochrony danych, które pozwala wdrożyć najlepsze rozwiązania w zakresie zabezpieczenia przed atakami oprogramowania wymuszającego okup oraz umożliwia szybkie odzyskiwanie sprawności systemu.
Zgodność z przepisami i ochrona danych w służbie zdrowia
Zgodność z przepisami i ochrona danych w służbie zdrowia mają zasadnicze znaczenie dla zapewnienia bezpieczeństwa pacjentów, utrzymania zaufania oraz uniknięcia sankcji prawnych i finansowych. Przepisy te regulują sposób gromadzenia, przechowywania, udostępniania i ochrony danych, zwłaszcza przed zagrożeniami dla cyberbezpieczeństwa w służbie zdrowia, takimi jak oprogramowanie wymuszające okup.
Zgodność z przepisami ma znaczenie w służbie zdrowia, ponieważ:
- Organizacje służby zdrowia przetwarzają chronione informacje zdrowotne, w tym diagnozy, informacje o leczeniu, historię medyczną oraz dane rozliczeniowe.
- Naruszenia mogą prowadzić do szkód dla pacjentów, kradzieży tożsamości i utraty zaufania publicznego.
- Nieprzestrzeganie przepisów może skutkować grzywnami, postępowaniem sądowym i sankcjami licencyjnymi.
Kluczowe przepisy dotyczące ochrony danych w służbie zdrowia to:
- HIPAA (Health Insurance Portability and Accountability Act) – USA.
- Główny cel: Ochrona chronionych informacji zdrowotnych.
- Zasada prywatności: Reguluje dostęp do chronionych informacji zdrowotnych i ich wykorzystanie.
- Zasada bezpieczeństwa: Wymaga ochrony technicznej, administracyjnej i fizycznej.
- Zasada powiadamiania o naruszeniach: Nakłada obowiązek terminowego ujawniania naruszeń.
- Kary: Do 1,9 mln dolarów za każde naruszenie rocznie.
- RODO (Ogólne rozporządzenie o ochronie danych) – UE/EOG.
- Główny zakres: Ochrona danych osobowych, w tym danych dotyczących zdrowia.
- Kluczowe postanowienia: Świadoma zgoda na wykorzystanie danych, prawo do bycia zapomnianym, minimalizacja danych i szyfrowanie.
- Kary: Do 20 mln euro lub 4% globalnego rocznego obrotu.
- PIPEDA (Ustawa o ochronie danych osobowych i dokumentów elektronicznych)
- Obejmuje sposób postępowania prywatnych podmiotów świadczących usługi opieki zdrowotnej z danymi pacjentów.
- Wymagania dotyczące przejrzystości, zgody i zgłaszania naruszeń.
- Inne istotne regulacje:
- Australia: Ustawa o dokumentacji medycznej (My Health Records Act), Ustawa o ochronie prywatności (Privacy Act).
- Indie: Ustawa o ochronie danych osobowych w środowisku cyfrowym (DPDP), DISHA (projekt).
- Singapur: Ustawa o ochronie danych osobowych (PDPA).
Wymagania regulacyjne i dotyczące zgodności mają wpływ na podstawowe zasady ochrony danych w służbie zdrowia:
- Poufność:
- Dostęp do danych medycznych (PHI) powinien mieć wyłącznie upoważniony personel.
- Stosowanie kontroli dostępu na podstawie ról oraz szyfrowanie.
- Integralność:
- Należy zapewnić, by dane medyczne (PHI) były dokładne i niezmienione.
- Należy rejestrować wszystkie przypadki dostępu i zmiany.
- Dostępność:
- Systemy muszą być odporne i zapewniać ciągłość działania, zwłaszcza w przypadku opieki krytycznej (EHR, PACS).
- Wspierane przez kopie zapasowe i odzyskiwanie awaryjne.
Czynniki te oraz wymagania zgodności mają wpływ na strategię ochrony przed oprogramowaniem wymuszającym okup w organizacjach opieki zdrowotnej, w tym na ochronę danych.
Wnioski
Oprogramowanie wymuszające okup w służbie zdrowia jest szczególnie niebezpieczne, ponieważ może mieć wpływ na zdrowie pacjentów. Wraz ze wzrostem liczby ataków ransomware zdecydowanie zaleca się, aby organizacje opieki zdrowotnej wdrożyły środki zapobiegawcze w celu ochrony danych. Tworzenie kopii zapasowej i odzyskiwanie danych po awarii są niezbędne i pomagają szybko odzyskać dane bez konieczności płacenia okupu. Skorzystaj z NAKIVO Backup & Replication, aby chronić dane przed oprogramowaniem wymuszającym okup dzięki zaawansowanym funkcjom, takim jak niezmienność kopii zapasowych, szyfrowanie i Odzyskiwanie lokacji.
