Ransomware a doppia estorsione: i dati dei pazienti a rischio

Le bande ransomware hanno perfezionato una tattica che rende le organizzazioni sanitarie particolarmente vulnerabili: la doppia estorsione. Invece di limitarsi a bloccare i sistemi di ospedali o assicurazioni e chiedere un riscatto per ripristinare l'accesso, gli attaccanti ora rubano prima i file sensibili, minacciando poi di divulgarli pubblicamente se il riscatto non viene pagato. Per i pazienti, questo significa che le conseguenze di una violazione sanitaria non si esauriscono con un'interruzione dei sistemi. Può significare che documenti profondamente personali, incluse note sulla salute mentale e anamnesi terapeutiche, finiscano esposti online.

Cos'è il ransomware a doppia estorsione?

Gli attacchi ransomware tradizionali erano relativamente semplici: criptare i file della vittima e poi chiedere un pagamento per la chiave di decrittazione. La doppia estorsione aggiunge un secondo livello di pressione. Prima di criptare qualsiasi cosa, gli attaccanti esfiltrano silenziosamente copie dei dati sensibili. In questo modo, anche se l'organizzazione vittima dispone di backup solidi e può ripristinare i propri sistemi senza pagare, i criminali mantengono comunque una leva. Possono minacciare di pubblicare i file rubati su siti di leak o venderli ad altri malintenzionati, costringendo le organizzazioni a una scelta impossibile tra pagare o rischiare una diffusione pubblica dei dati.

Questa strategia è diventata comune in molti settori, ma ha un impatto diverso in ambito sanitario. Secondo le linee guida dei National Institutes of Health sui rischi di violazione dei dati sanitari, le cartelle cliniche possiedono un tipo di sensibilità unico che altri dati rubati spesso non hanno. Un numero di carta di credito trapelato può essere bloccato e riemesso. Una diagnosi di salute mentale, lo stato di HIV o un record di trattamento per abuso di sostanze trapelati non possono essere annullati una volta resi pubblici.

Perché i dati sanitari sono un bersaglio privilegiato

Fornitori di servizi sanitari, assicuratori e i loro numerosi fornitori terzi detengono enormi quantità di informazioni: numeri di previdenza sociale, dettagli assicurativi, cronologie di prescrizioni e note cliniche. Questa combinazione rende i dati sanitari insolitamente preziosi nei mercati clandestini e insolitamente dolorosi da vedere esposti. Gli attaccanti lo sanno, ed è per questo che il settore è diventato un bersaglio favorito per le operazioni ransomware che si basano sulla doppia estorsione.

Vale anche la pena notare che le organizzazioni sanitarie spesso operano su reti complesse e interconnesse che coinvolgono sistemi di cartelle cliniche elettroniche, piattaforme di fatturazione, stanze di compensazione assicurative e appaltatori esterni. Ognuna di queste connessioni è un potenziale punto d'ingresso. Una debolezza in un singolo fornitore può trasformarsi in un'esposizione per i pazienti attraverso un'intera rete di fornitori.

Sei a rischio anche se non hai mai scelto il fornitore

Uno degli aspetti più frustranti degli incidenti ransomware in ambito sanitario è che i pazienti spesso non hanno alcun rapporto diretto con l'organizzazione che è stata violata. I tuoi dati potrebbero passare attraverso un laboratorio che elabora le tue analisi del sangue, una società di fatturazione a cui si appoggia lo studio del tuo medico o un intermediario assicurativo di cui non hai mai sentito parlare. Non hai scelto queste organizzazioni, non puoi verificare facilmente le loro pratiche di sicurezza, eppure una violazione in una qualsiasi di esse può mettere a rischio le tue informazioni sanitarie personali.

Questo è parte del motivo per cui il problema del ransomware nel settore sanitario è una preoccupazione condivisa piuttosto che individuale. Nessun livello di cautela personale isola completamente un paziente da una violazione nei sistemi backend di un ospedale, laboratorio o assicuratore.

Come proteggere le tue cartelle cliniche

Anche se non puoi controllare come ogni fornitore di servizi sanitari mette in sicurezza la propria rete, puoi ridurre la tua esposizione quando interagisci con portali per pazienti, piattaforme di telemedicina e siti web assicurativi.

Usa una VPN quando accedi ai portali sanitari su Wi-Fi pubblici o condivisi, come in una clinica, in aeroporto o in un bar. Questo cripta la tua connessione in modo che le credenziali di accesso e i dati di sessione non vengano facilmente intercettati su reti non protette.

Abilita l'autenticazione a più fattori su ogni portale pazienti e account assicurativo che la offre. Anche se le credenziali vengono compromesse in una violazione altrove, l'MFA aggiunge una barriera critica contro l'accesso non autorizzato.

Usa password uniche e robuste per ogni account correlato all'assistenza sanitaria, anziché riutilizzare una password da un altro sito. Il credential stuffing, dove gli attaccanti provano password rubate su più servizi, è una pratica comune a seguito delle violazioni.

Monitora gli estratti conto assicurativi e le fatture mediche per addebiti o servizi non familiari, che possono essere un segnale precoce che le tue informazioni sanitarie sono state utilizzate in modo improprio.

Chiedi direttamente ai tuoi fornitori informazioni sulle loro pratiche di sicurezza dei dati e notifica delle violazioni. I pazienti hanno il diritto di capire come vengono protette le loro informazioni.

Cosa significa questo per te

Il ransomware a doppia estorsione ha cambiato i calcoli sia per le organizzazioni sanitarie che per i pazienti. Non si tratta più solo di sapere se un ospedale può ripristinare i suoi sistemi dopo un attacco. Si tratta di sapere se le tue cartelle cliniche più sensibili finiranno pubblicate alla portata di chiunque. Poiché i pazienti spesso non possono scegliere quali fornitori gestiscono i loro dati dietro le quinte, la vigilanza personale conta più che mai, anche se non è una soluzione completa.

La realtà è che gli incidenti ransomware in ambito sanitario probabilmente continueranno finché la doppia estorsione rimarrà redditizia per gli attaccanti. Rafforzare la sicurezza del proprio account, usare una VPN su reti non protette e rimanere vigili su attività insolite dell'account non fermerà una violazione presso il tuo fornitore, ma può limitare quanti danni ti raggiungono personalmente.

Rimanere informati su come funzionano questi attacchi e adottare le misure protettive di base descritte sopra è una delle poche forme di controllo che i pazienti hanno effettivamente in questo panorama. Piccole abitudini come abilitare l'MFA e criptare la connessione su reti pubbliche si accumulano, specialmente mentre le tattiche di doppia estorsione continuano a prendere di mira il settore sanitario su larga scala.