Medusa løsepengevirus: Myndighetene oppdaterer veiledning for helsesektoren

Føderale etater har oppdatert sin felles veiledning om Medusa-løsepengevirus etter en rekke angrep mot helseorganisasjoner. Veiledningen beskriver hvordan gruppen opererer, inkludert et løsepengebrev som gir ofrene bare 48 timer til å svare, og et alternativ om å betale 10 000 dollar i kryptovaluta for å kjøpe én ekstra dag før stjålne data publiseres. For pasienter hvis journaler befinner seg i utsatte sykehus, klinikker og helsesystemer, er dette ikke bare et IT-problem. Det er en nedtelling for deres egne personopplysninger.

Hva Medusa-løsepengevirusangrepene mot helsemål faktisk gjorde

Medusa opererer som ransomware-as-a-service, noe som betyr at kjernégruppen bygger og vedlikeholder skadevaren, og deretter lisensierer den ut til tilknyttede aktører som gjennomfører selve innbruddene. Disse tilknyttede aktørene beholder en andel av eventuell løsepenge som betales, mens utviklerne samler inn resten. Denne strukturen lar Medusa skalere langt utover hva en enkelt hackergruppe kunne klare på egen hånd, siden dusinvis av uavhengige tilknyttede aktører kan kjøre angrep samtidig mot ulike mål.

Helsesektoren har blitt et hyppig mål fordi sykehus og klinikker har store mengder sensitive data og ofte ikke har råd til lengre nedetid. Når systemer går ned, påvirkes pasientbehandlingen direkte, noe som skaper enormt press for å løse hendelsen raskt, noen ganger ved å betale. Den oppdaterte føderale veiledningen gjenspeiler økende bekymring for at dette presspunktet utnyttes mer aggressivt mot sektoren.

Hvordan dobbel utpressing gjør et datainnbrudd til personlig risiko

Medusa bruker dobbel utpressing, en taktikk der angriperne ikke bare krypterer en organisasjons filer, men også stjeler en kopi av dataene før de låser noe som helst. Det gir dem to separate spaker å trekke i. For det første krever de betaling for å låse opp krypterte systemer. For det andre, selv om en offerorganisasjon gjenoppretter sine egne sikkerhetskopier og aldri rører løsepengekravet, sitter angriperne fortsatt på en kopi av de stjålne dataene og kan true med å publisere dem med mindre de får betalt igjen.

Det er her risikoen skifter fra institusjonen til individet. Et sykehus kan gjenoppbygge nettverket sitt fra sikkerhetskopier, men det kan ikke gjøre stjålne pasientjournaler ustjålne. Medisinske historikker, forsikringsdetaljer, personnummer og diagnoseinformasjon kan ende opp på en lekkasjeside med en offentlig nedtellingstimer, og når disse dataene først er eksponert, har pasientene ingen måte å ta dem tilbake. 48-timersvinduet og alternativet med betal-for-å-utsette som er innebygd i Medusas løsepengebrev, er ikke bare utpressingstaktikker rettet mot sykehus. De er øyeblikket da en bedriftsikkerhetshendelse blir et personlig personvernproblem for alle hvis data var i det systemet.

Hvorfor ransomware-as-a-service og kryptobetalinger holder denne trusselen skalerbar

Ransomware-as-a-service-modellen og kryptovalutabetalinger fungerer sammen for å holde operasjoner som Medusa lønnsomme og vanskelige å forstyrre. Å lisensiere skadevaren til tilknyttede aktører betyr at kjernéutviklerne ikke trenger å kjøre hvert angrep selv, de trenger bare å fortsette å forbedre verktøyene og ta sin andel av det som kommer inn. Kryptovalutabetalinger gjør det lettere å flytte løsepenger på tvers av landegrenser uten å gå gjennom tradisjonelle bankkanaler som kan flagge eller fryse transaksjonen.

Denne kombinasjonen er en del av grunnen til at føderale etater fortsetter å utstede og revidere veiledning i stedet for å behandle noen enkelt veiledning som det endelige ordet. Etter hvert som forsvarere tilpasser seg, justerer tilknyttede aktører teknikkene sine, og den underliggende forretningsmodellen fortsetter å generere nye variasjoner av den samme kjernétRusselen. For pasienter betyr dette at helsedatainnbrudd knyttet til grupper som Medusa ikke er en engangshendelse å bekymre seg for. De er en pågående risikokategori som ikke forsvinner med det første.

Praktiske tiltak for å beskytte deg selv etter et helsedatainnbrudd

De fleste pasienter får ikke vite at dataene deres er eksponert før en organisasjon sender en varsel om datainnbrudd, og selv da kan detaljene være begrensede. Å vente passivt på det brevet er ikke en god strategi gitt hvordan dobbel utpressing fungerer. Noen konkrete tiltak gjør en betydelig forskjell:

• Sett en kredittfrysning hos de store kredittbyråene hvis helseleverandøren din har rapportert om et datainnbrudd, siden medisinske journaler ofte inneholder identifikatorene som trengs for identitetstyveri.
• Overvåk forsikringsoppgaver og medisinske regninger for tjenester du ikke har mottatt, et vanlig tegn på medisinsk identitetssvindel.
• Bruk unike, sterke passord for pasientportaler og aktiver flerfaktorautentisering der det tilbys.
• Følg med på offisielle sider for varsel om datainnbrudd og legitime sikkerhetsvarsler i stedet for å stole på rykter om hva som ble eller ikke ble stjålet.

Hva dette betyr for deg

Den ubehagelige realiteten ved Medusa-løsepengevirusets doble utpressing er at pasienter ofte ikke har noen direkte relasjon til angriperne og ingen måte å forhandle på egne vegne. Deres datas skjebne avhenger helt av beslutninger tatt av en helseorganisasjons sikkerhetsteam og, i verste fall, en løsepengeforhandling de aldri vil se. Det er et sterkt argument for ikke å vente på at institusjoner alene skal varsle når informasjonen din er kompromittert. Proaktive trusselvarslingssystemer, som tilnærmingen Apple har beskrevet for å varsle brukere som er mål for leiesoldat-spionvare, viser hvordan det ser ut når en organisasjon tar ansvar for å informere enkeltpersoner raskt og åpent i stedet for å la dem finne ut gjennom et datainnbruddsbrev måneder senere. Helseleverandører og regulatorer er fortsatt i ferd med å ta igjen den standarden.

Viktige punkter

Medusa-løsepengevirusets doble utpressingsmodell betyr at et enkelt vellykket angrep på et sykehus eller en klinikk kan bli en personlig eksponeringshendelse for tusenvis av pasienter, uavhengig av om løsepengene betales. Ransomware-as-a-service-strukturen bak Medusa, kombinert med kryptovalutabetalinger, gjør denne trusselen varig snarere enn en forbigående overskrift. Hvis du har mottatt et varsel om datainnbrudd fra en helseleverandør, ta det på alvor: frys kreditten din, overvåk medisinske oppgaver, og stram inn autentiseringen på alle pasientportaler du bruker. Ikke vent på at en institusjon skal fortelle deg at noe er galt før du begynner å se etter tegn selv.