Mi történt a kanadai kórházban?

Egy kanadai kórházat ért zsarolóvírus-támadás sokkal többet zavart meg, mint csupán az adminisztratív számítógépek és a betegnyilvántartások. A Cybersecurity Insiders beszámolója szerint a támadás megbénította az ajtók, liftek, a szellőzés és a légkondicionálás vezérlőrendszereit, így a személyzetnek az automatizált rendszerek nélkül kellett működtetnie a létesítmény fizikai berendezéseit.

Ez éles eltérés a tipikusan címlapokra kerülő zsarolóvírus-támadásoktól. A kórházi zsarolóvírus-esetekről szóló tudósítások Kanadában és máshol is többnyire az ellopott betegadatokra, számlázási nyilvántartásokra vagy biztosítási információkra összpontosítottak. Ez az eset azért más, mert a támadók elérték a kórház fizikai működését fenntartó operatív technológiát, nem csupán az adatokat tároló IT-rendszereket.

Bár a kezdeti jelentések nem hozták nyilvánosságra a támadás mögött álló konkrét zsarolóvírus-csoportot, a kórház nevét és a követelt váltságdíj összegét, maga a fennakadás az igazi történet. Amikor egy kórházban leállnak az ajtók, a liftek és a klímaszabályozó rendszerek, a probléma szinte azonnal informatikai ügyből betegbiztonsági kockázattá válik.

Miért célozzák a zsarolóvírusok most már a kórházak fizikai rendszereit, nem csupán az adatokat?

A kórházak egyszerű okból váltak vonzó célpontokká: nem engedhetik meg maguknak a hosszabb leállást, mint más vállalkozások. Egy titkosított szerverekkel küzdő kiskereskedő talán néhány napos forgalomkiesést szenved el. Egy kórház, ahol leáll a szellőzés, zárolhatják az ajtókat vagy nem működnek a liftek, azonnali kockázatnak teszi ki a betegellátást, a fertőzéskontrollt és a sürgősségi reagálást.

Sok kórház épületfelügyeleti rendszerei, HVAC-vezérlései és beléptető-rendszerei olyan hálózatokon futnak, amelyek közvetlenül vagy közvetve ugyanahhoz az infrastruktúrához kapcsolódnak, mint a klinikai és adminisztratív számítástechnika. Amikor a zsarolóvírus végigsöpör egy kórházi hálózaton, nem mindig tartja tiszteletben az „informatika” és az „épületüzemeltetés” közötti határt. Egyetlen belépési pont végül egyszerre hathat a betegmegfigyelő berendezésekre, az ajtózárakra és a légkezelő rendszerekre.

Ez a digitális és fizikai kockázatok összemosódása egy szélesebb mintázat része. A zsarolóvírus-műveletek kiforrott bűnözői gazdasággá nőtték ki magukat, külön társult tagokkal, tárgyalókkal és kifejezetten arra tervezett infrastruktúrával, hogy az áldozatokat gyors fizetésre kényszerítsék. A jelenség mértékét jól mutatják azok a friss iparági kutatások, amelyek szerint a zsarolóvírus-támadások rekordszintet értek el az elmúlt negyedévekben, hangsúlyozva, hogy a kanadai kórházi esethez hasonló incidensek nem elszigetelt jelenségek, hanem egy jóval nagyobb hullám részei.

Kettős és hármas zsarolás: az egészségügyi támadások üzleti modellje

Az ilyen támadások pénzügyi logikája jelentősen átalakult. A hagyományos zsarolóvírusok egyszerűen titkosították az állományokat, és a visszafejtő kulcsért cserébe váltságdíjat követeltek. Manapság számos művelet kettős zsarolási taktikát alkalmaz: a rendszerek titkosítása előtt érzékeny adatokat lopnak, majd azok nyilvánosságra hozatalával fenyegetőznek, ha nem fizetnek. Egyes csoportok ennél is tovább mennek, és hármas zsarolást alkalmaznak, amikor az áldozatszervezet ügyfeleire, betegeire vagy üzleti partnereire is nyomást gyakorolnak.

Egy kórház számára ez nehéz mérlegelést jelent. Még ha a biztonsági mentések lehetővé is teszik a titkosított állományok fizetés nélküli visszaállítását, az ellopott betegadatok kiszivárogtatásának fenyegetése – vagy éppen ebben az esetben a fizikai épületrendszerek folyamatos zavara – további nyomást gyakorol a tárgyalásokra. Számos ország bűnüldöző szervei tettek már lépéseket a nagy zsarolóvírus-műveletek mögött álló személyek és hálózatok felszámolására, beleértve a jól ismert zsarolóvírus-infrastruktúrákhoz kötődő szereplőkkel szembeni szankciókat is, mint például a Stern néven ismert Trickbot-adminisztrátor ellen bevezetett büntetőintézkedések. Ennek ellenére az alapul szolgáló üzleti modell továbbra is elég jövedelmező ahhoz, hogy folyamatosan újabb támadások érjék az egészségügyi célpontokat.

Mit tehetnek a betegek és az egészségügyi dolgozók adataik védelmében?

A betegek közvetlenül nem tudják befolyásolni, hogyan védi egy kórház a hálózatát, de így is érdemes néhány fontos lépést megtenniük. Akiket érintett egy egészségügyi szolgáltatót ért kiberincidens, azok figyeljék a hivatalos adatszivárgási értesítéseket, kísérjék figyelemmel a biztosítási és számlázási kimutatásokat szokatlan tételek után, és legyenek óvatosak az incidensre hivatkozó adathalász kísérletekkel szemben. Az egészségügyi adatok kiszivárgásának lehetséges következményeit világossá tette a Change Healthcare több mint 190 millió rekordot érintő adatvédelmi incidense, amely megmutatta, hogy egyetlen zsarolóvírus-támadás az egészségügyben milyen messzire gyűrűzhet, a betegeket jóval a közvetlen célponton túl is érintve.

Az egészségügyi személyzet és az IT-rendszergazdák pedig tekintsenek úgy erre az esetre, mint ami emlékeztet arra, hogy ahol csak lehetséges, el kell különíteni az operatív technológiát (például a beléptető- és HVAC-vezérléseket) a klinikai és adminisztratív hálózatoktól. A rendszeres biztonsági mentések, a tesztelt incidenskezelési tervek és az épületüzemeltetésre vonatkozó egyértelmű kommunikációs protokollok egy kiberincidens során már nem extra szolgáltatások, hanem alapkövetelmények azokban a létesítményekben, ahol egy hálózati kiesés közvetlenül biztonsági kockázattá válhat.

Mit jelent ez Önnek?

Ez a kanadai kórházi zsarolóvírus-támadás azt jelzi, hogy a zsarolóvírus-fenyegetések túlléptek az adatok ellopásán, és elérték azt a fizikai környezetet, ahol a betegellátás történik. Akár beteg, akár kórházi dolgozó, akár egyszerű kiberbiztonsági hírek iránt érdeklődő olvasó, a tanulság ugyanaz: az egészségügyet érintő zsarolóvírus-támadások következményei egyre messzebbre vezetnek az adatvédelem határain túl. Az adatszivárgási értesítések figyelemmel kísérése, a támadások lefolyásának megértése és az erősebb biztonsági gyakorlatok támogatása az egészségügyi intézményekben gyakorlati válaszok egy olyan fenyegetésre, amely egyhamar nem fog eltűnni.