刚过完年回来,国内几家医院遭遇黑客攻击引发了大量的关注,对于医疗机构安全的担忧,早就已经不是新鲜事。这不只是国内的现状,放眼全球,医疗保健机构依然是勒索软件、数据盗窃、网络钓鱼以及内部威胁的重点目标。
RSA近期发布的《数据隐私报告》调查了欧洲和美国的7500名消费者。59%的受访者担心他们的医疗数据受到损害,39%的人担心黑客会篡改他们的医疗信息。
他们的确有理由担心,医疗保健行业除了面临黑客的针对之外,内部威胁也让其存在重大风险。
为什么医疗保健行业成为黑客的目标?
医疗机构往往具备一些属性,使其对于攻击者来说非常有吸引力。一个关键原因在于不同系统的数量,并且没有定期打补丁。KnowBe4的首席传播者和战略官员Perry Carpenter说:“其中一些是嵌入式系统,取决于制造商创建的方式,并不是那么容易修复。如果医疗机构的IT部门”
医疗机构往往具备一些属性,使其成为攻击者的有吸引力的目标。一个关键原因是不定期打补丁的不同系统的数量。“其中一些是嵌入式系统,由于制造商创建它们的方式,不能很容易地进行修补。如果医疗机构IT部门处理不当,将会给提供支持的供应商带来麻烦。”
健康数据在网络犯罪世界中是一种有价值的商品,并且使其成为盗窃的目标,医疗机构的这种关键属性使其处于攻击者的视线之下。由于受到威胁的是病人的健康,医疗机构更有可能支付勒索软件的需求。
接下来是今年医疗机构可能遭遇的五大安全威胁。
1.勒索软件
根据2017年的CryptoniteNXT医疗保健网络研究报告,医疗机构十大安全事故中,有六起是勒索软件攻击导致。报告指出,重大勒索软件攻击(影响超过500名患者)的总数从2016年的19起增加至2017年的36起。
没有理由相信勒索软件攻击今年将会停止。“在我们充分强化我们的员工防范意识和系统安全性之前,勒索软件将继续取得成功并获得更多满足。他们将继续利用使用者的疏忽,诱骗他们点击某个东西或下载某些东西”,Carpenter说。
原因很简单:黑客认为他们的勒索软件攻击更有可能成功,因为医院、医疗机构和其他卫生组织如果无法访问患者记录,就会将无数生命置于危险之中。他们将不得不立即采取行动并支付赎金,而不是经历从备份中恢复数据那样漫长的过程。
“医疗保健是一项业务,但医疗保健也涉及人们的生活”,Carpenter说。“任何时候,如果你的业务与人们生活中最私人和最重要的部分相交叉,并且对此构成威胁,则需要立即作出反应。这对于部署勒索软件的网络犯罪分子来说,是一个非常值得利用的弱点。”
当医疗机构无法迅速恢复正常时,勒索软件的影响可能是毁灭性的。当电子病历(EHR)公司Allscripts在1月份因勒索软件攻击而关闭时,这一点非常明显。这次攻击感染了两个数据中心,并使许多应用程序脱机,影响了成千上万的医疗保健提供商。
2.盗窃病人数据
对于网络犯罪分子来说,医疗保健数据可能比财务数据更有价值。根据趋势科技《医疗机构面临的网络犯罪和其他威胁报告》,被盗的医疗保险身份证在黑色网站上至少售价1美元,医疗档案价格从每个5美元起。
根据趋势科技报告,黑客可以使用身份证和其他医疗数据中的数据获取政府文件,如驾驶执照,售价约为170美元。从完整的PHI和死者身份数据中创建一个完整的身份证,能够以1,000美元的价格出售。相比之下,信用卡号码在黑暗网络上的售价则要便宜得多。
Carpenter说:“医疗记录的价值远远超过信用卡数据等,因为它们汇集了大量信息。” 这包括个人的财务信息和主要背景数据。“身份盗窃者需要的一切都在那里。”
犯罪分子窃取健康数据的手段也越来越狡猾,伪勒索软件就是一个例子。Carpenter说:“这是恶意软件,看起来像勒索软件,但是并不会做什么太具破坏性的事情。在这些外表之下,它窃取医疗记录或安装其他间谍软件或恶意软件,这些将会在以后对犯罪分子有利。”
正如下一节所解释的,医疗保健内部人员也在窃取患者数据。
3.内部威胁
根据最近发布的《受保护健康信息泄露报告》,遭遇数据泄露事故的医疗机构中,57.5%是内部人士所为。外部攻击者只有42%。财务收益是内部威胁的主要动机,达到48%。对于外部攻击者来说,90%的案例都是获得经济收益的动机。
例如,很大一部分内部人违规行为都是出于好奇心,主要是在他们的工作职责之外访问数据 – 例如查找名人的PHI。间谍活动和解决怨恨也是动机。Fairwarning首席执行官Kurt Long表示:“在患者入住医疗系统的过程中,有数十人可以获得医疗记录。“因此,医疗服务提供者往往会有宽松的访问控制。一般工作人员可以访问大量数据,因为他们需要快速获取数据以关注特定的患者。”
医疗机构中不同系统的数量也是一个因素。Long说,这不仅包括账单和注册,还包括专门用于妇产科,肿瘤科,诊断和其他临床系统的系统。
“用钱可以办成很多事情,从盗窃病人数据到身份盗窃或实施医疗身份盗窃欺诈计划。这几乎成为了该行业黑产中常规操作,“Long说。“有人为自己或朋友更改账单,或者修改鸦片类药物或处方药。他们捕获处方并将其出售以谋取利润。“
Long说:“当你总体考察鸦片类药物危机时,它已经变成为医疗机构工作者 利用职权开局鸦片类药物处方来获取利益的的常见情形。“这是阿片类药物总体危机中的最新数据点,医疗保健工作者认识到他们的价值,他们可能会沉迷于这些或使用他们获得经济利益。“
去年,Memorial Healthcare Systems公司支付了550万美元的HIPAA协议,以解决两名员工访问超过115,000名患者的PHI的内部人员违规问题。这一违规行为导致Memorial完全改变了其隐私和安全态势,以防范未来内部人士和其他威胁。
4.网络钓鱼
网络钓鱼是攻击者进入系统最常用的手段。它可以用来安装勒索软件,密码脚本,间谍软件或代码来窃取数据。
有些人认为医疗保健更容易受到网络钓鱼企图的影响,但数据显示的情况却不太一样。KnowBe4的一项研究表明,医疗保健与大多数其他行业在被网络钓鱼攻击方面一样。拥有250至1,000名员工并且未接受安全意识培训的医疗机构,有27.85%的机会成为网络钓鱼企业的受害者,而所有行业平均为27%。
Carpenter说:“从利他主义的角度来看,医疗工作者经常接触涉及患者生命安全的情况,可能更容易去点击钓鱼邮件,但从调查结果来看,似乎也并非如此。”
在应对网络钓鱼的敏感问题时,网络规模至关重要。根据KnowBe4的数据显示,拥有1,000名或以上员工的医疗机构有25.6%可能被盗用。“有1000多名员工的组织中,我们发现他们中的大多数人已经接受了相关的培训,并且在更高层次上运作,因为他们必须制定不同的系统来遵守严格的规定。”Carpenter说。
5.Cryptojacking
秘密劫持系统以窃取加密货币是所有行业都面临的难题。由于医疗机构的特殊属性,其使用的系统是非常有吸引力的目标,因为保持它们运行至关重要。系统运行时间越长,犯罪分子就越能够挖掘加密货币。“在医院环境下,即便怀疑被劫持,他们也不可能立即关闭系统,”卡彭特说。“机器运转的时间越长,它对罪犯的益处就越大。”
假设医疗保健提供者可以检测Cryptojacking。挖矿代码不会损害系统,但会消耗大量的计算能力。识别它的最可能方式是系统和生产力变慢。一些cryptojackers会减少系统占用资源,以减少检测风险。许多医疗机构没有IT或安全人员来识别和应对这种挖矿攻击。
减少医疗保健安全威胁的建议
及时修补和更新关键系统
Carpenter说:“事实摆在那里,那些老旧的、未打补丁的系统作为关键设备嵌入,本身会导致重大漏洞,恶意软件势必会尽量利用。但更新系统也并不容易,因为修补过程可能会破坏关键系统或损害供应商支持系统的能力。
在某些情况下,没有可用于已知漏洞的修补程序。Carpenter建议在供应商没有或不能修补或更新系统的情况下向供应商施压。“对供应商采取积极的态度,并问为什么这些系统不能或没有得到更新,并保持作为一个行业的压力。”
培训员工
根据KnowBe4的研究,医疗保健服务的平均值低于培训员工识别网络钓鱼企图的平均值。许多医疗保健机构都很小 (少于1000名员工),这可能是一个因素。“这不仅仅是告诉他们什么正确的事情该做,而是培养一种安全意识,能够分辨并意识到不去点击钓鱼链接。”卡彭特说。
该计划意味着发送模拟网络钓鱼电子邮件。点击链接的员工应该立即获得反馈,要了解他们做了什么以及他们将来如何做正确事情,这样的培训计划可以产生巨大的影响。
KnowBe4的研究表明,250到999名员工的医疗机构在一年的网络钓鱼训练和测试后,其网络钓鱼敏感度可从27.85%下降到1.65%。
小心有关员工的信息
网络钓鱼攻击越个性化,它的成功机会就越大。在鱼叉式网络钓鱼攻击中,攻击者试图尽可能多地了解目标个人。Carpenter说:“如果在办公室之外的场合不小心透露了相关的员工信息,攻击者可以通过使用这些名称和关系链来建立信任。”
增强抵御和应对威胁的能力
“让我感到担忧的是,大部分医疗机构在事故发生之后,缺乏适当调查的能力,记录事件和评估伤害的能力。他们也缺乏安全补救的人员,以免再次发生这种情况,”Long说。他的建议是:“通过合作伙伴或合作伙伴获得正确的专业知识。”他补充说,安全需要成为董事会和高管层的优先考虑事项。“确定安全优先级后的第一步是,确保您拥有一个具有适用经验的专用CISO。”
Long说,较小的医疗服务提供商可能没有资源聘用CISO,但他们仍需要优先考虑安全性。“他们可能需要通过其他途径获得一流的安全专业知识。这可能是通过合作伙伴或托管安全服务,并能够深刻意识到’我的病人应该得到安全,我必须致力于合作或让合适的安全人员来到这里。”
*参考来源:CSOonline,由Andy编译
声明:本文来自FreeBuf,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。