医療ネットワークに対する新たな連邦政府の警告

CISAとFBIは、Gunraと呼ばれる活発なランサムウェア活動について、病院や医療機関に警告する共同サイバーセキュリティ勧告を発表しました。この勧告は、ランサムウェア・アズ・ア・サービス（RaaS）グループが、Fortinet製品の脆弱性を含むインターネット接続型の脆弱性を悪用してネットワークに侵入し、データを暗号化する前に機密情報を窃取していると説明しています。

これはGunraに関する最初の警告ではありません。米国と韓国がGunraランサムウェアの脅威の拡大を警告で報じたように、当局はこのグループの活動範囲と技術的能力が拡大する中、しばらく前から追跡してきました。最新の勧告は、特に医療、政府、重要インフラの標的に焦点を絞り、グループがネットワーク内部に侵入した後にどのように活動するかを詳細に示しています。

Gunraランサムウェア攻撃の仕組み

勧告によると、Gunraの関連組織がネットワークへのアクセスを獲得すると、二重恐喝モデルに従います。まず、データを外部に持ち出し、誰も気付かないうちにネットワークからファイルをコピーします。その後、被害者のシステムを暗号化し、病院の職員を記録、予約システム、その他の重要インフラから締め出します。

医療機関の標的に対する圧力戦術は特に攻撃的です。被害者には、Gunraが盗んだファイルをダークウェブのリークサイトに公開すると脅すまで、わずか5〜7日間の支払い猶予が与えられます。交渉はTorベースのポータルを通じて行われ、グループの身元と所在地を隠したまま、被害者との直接通信を可能にしています。

Gunraが連邦機関にとって特に懸念されるのは、そのビジネスモデルです。このグループは、回収した身代金の80%を提供することで、他のランサムウェア活動から積極的に関連組織を勧誘しています。これはランサムウェア・アズ・ア・サービス業界では異例なくらい寛大な分配であり、Gunraがネットワークへの侵入方法や被害者への圧力のかけ方を既に知っている経験豊富なオペレーターを引き込むことで、急速に規模を拡大しようとしていることを示しています。

なぜ病院が主要な標的になるのか

医療機関は長い間、ランサムウェアグループにとって魅力的な標的であり、その理由は変わっていません。病院は稼働時間に依存しています。電子カルテシステムがロックされたり、予約プラットフォームが停止したりすれば、単なる不便さだけでなく、患者のケアが遅れる可能性があります。その緊急性が早期支払いへの圧力を生み出し、それはまさにGunraのようなグループが当てにしているものです。

データ窃取の要素は、さらに別のリスク層を追加します。患者記録には通常、氏名、住所、社会保障番号、保険情報、病歴が含まれており、これらはすべてダークウェブ市場で実際に価値があり、初期攻撃の後も長期間にわたって個人情報詐欺や保険詐欺に悪用される可能性があります。リークの脅威までの5〜7日のカウントダウンは、病院が意図的にストレスの多い厳しい期限の下で重大な決断を迫られることを意味します。

インターネット接続型の脆弱性、特に勧告によるとFortinet製品の欠陥の悪用は、多くの侵害が高度なゼロデイ攻撃ではなく、既知のパッチ適用可能な欠陥から始まることを思い出させます。ファイアウォールやVPNゲートウェイなどのエッジデバイスのパッチ適用が遅れている組織は、Gunraのようなグループが侵入するための扉を開けたままにしていることになります。

これはあなたにとって何を意味するか

あなたが病院や医療システムの患者である場合、この勧告は、あなたの医療情報と個人情報が、それを保存するシステムと同じくらい安全であることを思い出させます。プロバイダーが標的になったかどうかをリアルタイムで知ることは通常できませんが、データが漏洩した場合に被害を限定するための措置を講じることはできます。保険の明細書や信用報告書に見覚えのない活動がないか監視し、医療プロバイダーから漏洩通知を受け取った場合は、詐欺警告の設定や信用凍結を検討してください。

医療ITや病院管理に携わっている場合、この勧告は、特にFortinetデバイスやその他のネットワーク境界機器など、インターネット接続型インフラの即時確認を促し、パッチが最新であることを確認する必要があります。単一の compromised デバイスが患者記録システムへのアクセスを提供しないようにネットワークをセグメント化することも、もう一つの実用的な防御策です。Gunraが異例に高い収益分配で関連組織を積極的に勧誘していることを考えると、セキュリティチームはグループの攻撃量が今後数ヶ月で減少するどころか増加すると想定すべきです。

重要なポイント

Gunraランサムウェアは、特に病院や重要インフラを標的とする、成長し金銭的に動機付けられた脅威を表しています。このグループの二重恐喝アプローチは、攻撃的な5〜7日の身代金期限と組み合わせることで、ダウンタイムを最も許容できない被害者への圧力を最大化するように設計されています。患者にとっては、漏洩通知への警戒と個人アカウントの監視が最善の防御策であり続けます。医療ITチームにとっては、既知の脆弱性、特にエッジデバイスのパッチ適用と、強固なネットワークセグメント化の維持が、曝露を減らすための最も直接的かつ実行可能なステップです。連邦機関がGunraの拡大を追跡し続ける中、このような勧告を通じて情報を得続けることは、次の攻撃の一歩先を行くための最も簡単な方法の一つです。