Ransomware-bander har forfinet en taktik, der gør sundhedsorganisationer særligt sårbare: dobbelt afpresning. I stedet for blot at låse hospitals- eller forsikringssystemer og kræve betaling for at genoprette adgangen, stjæler angriberne nu først følsomme filer og truer derefter med at lække disse data offentligt, hvis løsesummen ikke betales. For patienter betyder det, at følgerne af et sundhedsdatabrud ikke slutter med et systemnedbrud. Det kan betyde, at dybt personlige journaler, herunder notater om mental sundhed og behandlingshistorik, ender med at blive eksponeret online.
Hvad er dobbeltafpresnings-ransomware?
Traditionelle ransomware-angreb var forholdsvis ligetil: krypter ofrets filer, og kræv derefter betaling for dekrypteringsnøglen. Dobbelt afpresning tilføjer et ekstra lag af pres. Inden noget krypteres, eksfiltrerer angriberne i stilhed kopier af følsomme data. På den måde har de kriminelle stadig et magtmiddel, selv hvis offerorganisationen har solide backups og kan genskabe sine systemer uden at betale. De kan true med at offentliggøre stjålne filer på lækagesider eller sælge dem til andre ondsindede aktører, hvilket tvinger organisationer til et umuligt valg mellem at betale eller risikere en offentlig datalækage.
Denne strategi er blevet almindelig inden for mange brancher, men den rammer anderledes i sundhedssektoren. Ifølge vejledning fra National Institutes of Health om risici ved sundhedsdatabrud rummer lægejournaler en helt særlig form for følsomhed, som andre stjålne data ofte ikke har. Et lækket kreditkortnummer kan spærres og genudstedes. En lækket mental diagnose, hiv-status eller journal om stofmisbrugsbehandling kan ikke gøres ugjort, når først den er offentlig.
Hvorfor sundhedsdata er et oplagt mål
Sundhedsudbydere, forsikringsselskaber og deres mange tredjepartsleverandører ligger inde med enorme mængder information: cpr-numre, forsikringsoplysninger, recepthistorik og kliniske notater. Den kombination gør sundhedsdata usædvanligt værdifulde på undergrundsmarkeder og usædvanligt smertefulde at få eksponeret. Det ved angriberne, og derfor er sektoren blevet et foretrukket mål for ransomware-operationer, der benytter dobbelt afpresning.
Det er også værd at bemærke, at sundhedsorganisationer ofte kører på komplekse, sammenkoblede netværk, der omfatter elektroniske patientjournalsystemer, faktureringsplatforme, forsikringsclearingcentre og eksterne samarbejdspartnere. Hver eneste af disse forbindelser er et potentielt indgangspunkt. En svaghed hos en enkelt leverandør kan føre til eksponering af patienter på tværs af et helt netværk af udbydere.
Du er i farezonen, selv hvis du aldrig har valgt udbyderen
En af de mest frustrerende aspekter ved ransomware-hændelser i sundhedssektoren er, at patienter ofte ikke har nogen direkte relation til den organisation, der blev ramt af bruddet. Dine data kan passere gennem et laboratorium, der analyserer dine blodprøver, et faktureringsfirma, som din læges praksis outsourcer til, eller en forsikringsformidler, du aldrig har hørt om. Du har ikke valgt disse organisationer, du kan ikke uden videre kontrollere deres sikkerhedspraksis, og alligevel kan et brud hos en af dem bringe dine personlige helbredsoplysninger i fare.
Dette er en del af grunden til, at ransomware-problemet i sundhedssektoren er et fælles anliggende snarere end et individuelt. Ingen mængde af personlig forsigtighed beskytter fuldstændigt en patient mod et brud hos en hospitals-, laboratorie- eller forsikringsudbyders bagvedliggende systemer.
Sådan beskytter du dine lægejournaler
Selvom du ikke kan styre, hvordan enhver sundhedsleverandør sikrer sit netværk, kan du mindske din egen eksponering, når du interagerer med patientportaler, telemedicinske platforme og forsikringswebsider.
Brug en VPN, når du tilgår patientportaler på offentligt eller delt wi-fi, f.eks. på en klinik, i en lufthavn eller på en café. Dette krypterer din forbindelse, så loginoplysninger og sessionsdata ikke nemt opsnappes på usikrede netværk.
Aktivér multifaktorautentificering på alle patientportaler og forsikringskonti, der tilbyder det. Selv hvis legitimationsoplysninger kompromitteres ved et brud et andet sted, tilføjer MFA en afgørende barriere mod uautoriseret adgang.
Brug unikke, stærke adgangskoder til hver sundhedsrelateret konto i stedet for at genbruge en adgangskode fra et andet site. Credential stuffing, hvor angribere prøver stjålne adgangskoder på tværs af flere tjenester, er en almindelig opfølgning på brud.
Overvåg forsikringsudskrifter og lægeregninger for ukendte ydelser eller beløb, hvilket kan være et tidligt tegn på, at dine helbredsoplysninger er blevet misbrugt.
Spørg dine udbydere direkte om deres datasikkerhed og procedurer for underretning om brud. Patienter har ret til at forstå, hvordan deres informationer beskyttes.
Hvad dette betyder for dig
Dobbeltafpresnings-ransomware har ændret regnestykket for både sundhedsorganisationer og patienter. Det handler ikke længere kun om, hvorvidt et hospital kan genskabe sine systemer efter et angreb. Det handler om, hvorvidt dine mest følsomme personlige journaler ender offentligt tilgængelige for enhver. Fordi patienter ofte ikke kan vælge, hvilke leverandører der håndterer deres data bag kulisserne, er personlig agtpågivenhed vigtigere end nogensinde, selvom det ikke er en komplet løsning.
Virkeligheden er, at ransomware-hændelser i sundhedssektoren sandsynligvis vil fortsætte, så længe dobbelt afpresning forbliver profitabelt for angriberne. At styrke din egen kontosikkerhed, bruge en VPN på usikrede netværk og være opmærksom på usædvanlig kontoaktivitet vil ikke forhindre et brud hos din udbyder, men det kan begrænse, hvor meget skade der rammer dig personligt.
At holde sig orienteret om, hvordan disse angreb fungerer, og tage de grundlæggende beskyttelsestrin, der er beskrevet ovenfor, er en af de få former for kontrol, patienter faktisk har i dette landskab. Små vaner som at aktivere MFA og kryptere din forbindelse på offentlige netværk summer op, især når dobbeltafpresningstaktikker fortsætter med at ramme sundhedssektoren i stor skala.
