AnMed, voittoa tavoittelematon terveydenhuoltojärjestelmä, joka palvelee Etelä-Carolinan pohjoisosaa ja Koillis-Georgiaa, kamppailee 72 tunnin kiristyshaittaohjelman määräaikaa vastaan hyökkääjien kaadettua keskeiset kliiniset palvelut, puhelinlinjat ja sisäiset verkot. AnMedin haittaohjelmatapauksena kuvailema kyberhäiriö on pakottanut lähes 80 toimipistettä sulkemaan ovensa tai supistamaan toimintaansa, vaikka päivystyspoliklinikat ovat jatkaneet potilaiden hoitamista koko katkon ajan.
Tapauksesta kertovien tietojen mukaan nimeämätön potilas sanoi, että AnMedillä oli 72 tuntia aikaa maksaa lunnaat tai muuten potilastietoja saatetaan vuotaa julkisesti. AnMed ei ole itsenäisesti vahvistanut tätä väitettä, mutta se korostaa tämän tarinan ydintä: kyse ei ole vain puhelinlinjojen ja ajanvarausjärjestelmien palauttamisesta. Kyse on siitä, päätyvätkö mahdollisesti tuhansien potilaiden arkaluonteiset sairauskertomukset, laskutustiedot ja henkilökohtaiset tiedot verkkoon.
Mitä AnMedillä tapahtui
AnMed ilmoitti häiriöstä alun perin ulkoisena kyberhyökkäyksenä, joka kaatoi sisäiset verkot ja puhelininfrastruktuurin koko sairaalajärjestelmässä. Tapahtuman jälkeisinä päivinä terveydenhuoltojärjestelmä on työskennellyt yhdessä liittovaltion ja osavaltion virastojen sekä ulkopuolisten kyberturvallisuusasiantuntijoiden kanssa tutkiakseen ja rajaten tapahtuman. AnMed on sittemmin avannut uudelleen lääkärivastaanotot, pitänyt kiirevastaanotot avoinna ilman ajanvarausta ja avannut oman potilaslinjan, jotta ihmiset voivat tavoittaa henkilökuntaa ajanvarausasioissa samalla, kun laajempi järjestelmätutkinta jatkuu.
Tässä on tuttu kuvio kaikille, jotka ovat seuranneet terveydenhuoltoon kohdistuvia kiristyshaittaohjelmatapauksia: hyökkääjät kohdistavat sairaalajärjestelmiin juuri siksi, että toiminnalliset panokset ovat niin korkeat. Toisin kuin vähittäiskauppa tai mediayhtiö, sairaala ei voi yksinkertaisesti odottaa katkon menevän ohi. Potilaat tarvitsevat hoitoa, tietueiden on oltava käytettävissä, ja jokainen seisokkitunti luo paineen ratkaista tilanne nopeasti – juuri siihen vipuvoimaan kiristyshaittaohjelmaryhmät luottavat.
Miksi 72 tunnin määräaika on merkittävä
Kiristyshaittaohjelmaryhmät turvautuvat yhä useammin kaksoiskiristysmalliin: ne eivät ainoastaan salaa tietoja, vaan uhkaavat myös julkaista ne, ellei lunnaita makseta. Lyhyt määräaika, tässä tapauksessa raportoidusti 72 tuntia, on suunniteltu maksimoimaan painetta organisaatioon, joka jo muutenkin tasapainoilee potilasturvallisuuden, viranomaisvelvoitteiden ja julkisen tarkkailun välillä samanaikaisesti.
AnMedin kaltaiselle terveydenhuoltojärjestelmälle tätä painetta lisää riskin alla olevan datan luonne. Sairauskertomukset sisältävät tyypillisesti sosiaaliturvatunnuksia, vakuutustietoja, diagnooseja, lääkityshistorioita ja muita tietoja, joita ei voi yksinkertaisesti nollata kuten salasanaa. Jos hyökkääjien väitteet vuotomääräajasta pitävät paikkansa, seuraukset voivat ulottua paljon AnMedin omia järjestelmiä laajemmalle ja kohdistua potilaisiin, joilla ei ollut mitään sananvaltaa siinä, miten heidän palveluntarjoajansa suojasi kyseiset tiedot.
Tämä on osa laajempaa kehityskulkua, jossa arkaluonteisista henkilötiedoista tulee vipuvartta – ei ainoastaan rikollisille kiristyshaittaohjelmaryhmille, vaan myös muissa yhteyksissä. Keskustelut siitä, kuinka paljon pääsyä viranomaisilla tai alustoilla tulisi olla henkilötietoihin, kuten pohdinnat KOSAn turvallisuuslupauksen ja sen yksityisyyden kompromissin ympärillä, heijastavat samaa perusjännitettä: ihmisten suojeleminen vaatii usein juuri sellaisen datan keräämistä ja säilyttämistä, josta tulee vaarallista, kun se joutuu vääriin käsiin.
Mitä tämä tarkoittaa sinulle
Jos olet nykyinen tai entinen AnMedin potilas, ensisijainen tehtävä on seurata terveydenhuoltojärjestelmän virallista viestintää siitä, mihin tietoihin, jos mihinkään, on päästy käsiksi tai mitä on paljastunut. Sairaaloilla on velvollisuus ilmoittaa potilaille, kun suojattuja terveystietoja on vaarantunut, joten mahdollisen vahvistetun tietomurron myötä tulee aikanaan virallinen ilmoitus sekä ohjeet luottotietojen seurannasta tai identiteettivarkaussuojapalveluista tarvittaessa.
Sillä välin kannattaa suhtautua varoen kaikkiin ei-toivottuihin puheluihin, tekstiviesteihin tai sähköposteihin, jotka väittävät olevansa AnMediltä, erityisesti jos ne pyytävät vahvistamaan henkilökohtaisia tietoja, napsauttamaan linkkiä tai suorittamaan maksun. Huijarit liikkuvat usein nopeasti julkisuuteen tulleen tietomurron jälkeen toivoen tavoittavansa ihmisiä, jotka ovat huolissaan ja etsivät päivityksiä.
Laajemmin tämä tapaus on muistutus siitä, että terveydenhuollon tietomurroilla on seurauksia, jotka kestävät kauemmin kuin alkuperäinen katkos. Vaikka puhelinlinjat palautettaisiin ja vastaanottoajat jatkuisivat, paljastuneet lääketieteelliset ja taloudelliset tiedot voivat kiertää vuosia ruokkien identiteettivarkauksia, vakuutuspetoksia ja kohdennettua tietojenkalastelua kauan sen jälkeen, kun otsikot ovat haalistuneet.
Käytännön ohjeita
Jos saat hoitoa AnMediltä tai miltä tahansa terveydenhuoltojärjestelmältä, joka kokee vastaavan tapauksen, harkitse näitä toimia:
- Seuraa AnMedin virallista viestintää ja luotettavaa paikallisuutisointia sen sijaan, että luottaisit huhuihin tai vahvistamattomiin someväitteisiin
- Tarkkaile pankki- ja vakuutustiliotteitasi tarkasti epätavallisten veloitusten tai korvaushakemusten varalta tietomurtoilmoitusta seuraavina viikkoina
- Harkitse petosilmoituksen tai luottokiellon asettamista, jos saat vahvistuksen, että sosiaaliturvatunnuksesi tai taloustietojasi on paljastunut
- Suhtaudu epäillen ei-toivottuihin yhteydenottoihin, jotka viittaavat tietomurtoon, ja varmista kaikki henkilötietopyynnöt ottamalla yhteyttä AnMediin suoraan tunnetun puhelinnumeron kautta
Sairaaloihin kohdistuvat kiristyshaittaohjelmahyökkäykset eivät todennäköisesti hidastu lähiaikoina, ja AnMedin tapaus on selkeä esimerkki siitä, miksi potilaiden – ei pelkästään IT-osastojen – on pysyttävä perillä siitä, miten heidän terveydenhuollon tarjoajansa suojaavat ja paljastavat arkaluonteisia tietoja.
