AnMed, niedochodowy system opieki zdrowotnej obsługujący północną część Karoliny Południowej i północno-wschodnią Georgię, ściga się z 72-godzinnym terminem wyznaczonym przez atak ransomware, po tym jak atakujący unieruchomili kluczowe usługi kliniczne, linie telefoniczne i sieci wewnętrzne. Zakłócenie, opisane przez AnMed jako incydent cyberbezpieczeństwa z wykorzystaniem złośliwego oprogramowania, zmusiło prawie 80 placówek do zamknięcia lub ograniczenia działalności, choć izby przyjęć przez cały czas przyjmowały pacjentów.

Według doniesień na temat tego incydentu, anonimowy pacjent powiedział, że AnMed miało 72 godziny na zapłacenie okupu, w przeciwnym razie groziło publicznym ujawnieniem danych pacjentów. Twierdzenie to nie zostało niezależnie potwierdzone przez samo AnMed, ale podkreśla ono głęboki niepokój leżący u podstaw całej historii: nie chodzi tylko o przywrócenie linii telefonicznych i systemów umawiania wizyt. Chodzi o to, czy wrażliwe dane medyczne, informacje rozliczeniowe i dane osobowe potencjalnie tysięcy pacjentów trafią do sieci.

Co się stało w AnMed

AnMed po raz pierwszy poinformowało o zakłóceniu jako o zewnętrznym cyberataku, który unieruchomił sieci wewnętrzne i infrastrukturę telefoniczną w całym systemie szpitalnym. W kolejnych dniach system opieki zdrowotnej współpracował z agencjami federalnymi, stanowymi oraz zewnętrznymi ekspertami ds. cyberbezpieczeństwa, aby zbadać i opanować incydent. AnMed ponownie otworzyło gabinety lekarskie, utrzymało dostępność centrów opieki doraźnej dla pacjentów bez umówionych wizyt oraz uruchomiło dedykowaną linię telefoniczną dla pacjentów, aby mogli kontaktować się z personelem w sprawie wizyt podczas dalszego dochodzenia w sprawie systemów.

Schemat ten jest znany każdemu, kto śledził incydenty ransomware w służbie zdrowia: atakujący celują w systemy szpitalne właśnie ze względu na ogromną stawkę operacyjną. W przeciwieństwie do sieci handlowej czy firmy medialnej, szpital nie może po prostu przeczekać przestoju. Pacjenci potrzebują opieki, dokumentacja musi być dostępna, a każda godzina przestoju wywiera presję na szybkie rozwiązanie sytuacji – dokładnie na to liczą grupy ransomware.

Dlaczego 72-godzinny termin ma znaczenie

Grupy ransomware coraz częściej polegają na modelu podwójnego wymuszenia: nie tylko szyfrują dane, ale także grożą ich publikacją, jeśli okup nie zostanie zapłacony. Krótki termin, w tym przypadku podobno 72 godziny, ma na celu maksymalne zwiększenie presji na organizację, która już żongluje bezpieczeństwem pacjentów, obowiązkami regulacyjnymi i kontrolą publiczną.

W przypadku systemu opieki zdrowotnej takiego jak AnMed presja ta jest potęgowana przez rodzaj zagrożonych danych. Dokumentacja medyczna zazwyczaj zawiera numery ubezpieczenia społecznego, dane ubezpieczeniowe, diagnozy, historię leków i inne informacje, których nie można po prostu zresetować tak jak hasła. Jeśli twierdzenia atakujących dotyczące terminu wycieku są dokładne, narażenie może wykraczać daleko poza systemy samego AnMed i dotknąć pacjentów, którzy nie mieli wpływu na to, jak ich dostawca zabezpieczył te dane.

Jest to część szerszego schematu, w którym wrażliwe dane osobowe stają się kartą przetargową nie tylko dla przestępczych grup ransomware, ale także w innych kontekstach. Debaty na temat tego, jak duży dostęp władze lub platformy powinny mieć do danych osobowych, takie jak kompromisy omawiane w dyskusji na temat obietnicy bezpieczeństwa KOSA i jej kompromisu w zakresie prywatności, odzwierciedlają to samo podstawowe napięcie: ochrona ludzi często wymaga gromadzenia i przechowywania dokładnie tego rodzaju danych, które stają się niebezpieczne, gdy wpadną w niepowołane ręce.

Co to oznacza dla Ciebie

Jeśli jesteś obecnym lub byłym pacjentem AnMed, priorytetem jest natychmiastowe śledzenie oficjalnych komunikatów od systemu opieki zdrowotnej na temat tego, jakie dane – jeśli w ogóle – zostały ujawnione lub naruszone. Szpitale są zobowiązane do powiadamiania pacjentów, gdy chronione informacje zdrowotne zostaną naruszone, więc każde potwierdzone naruszenie powinno ostatecznie wiązać się z formalnym powiadomieniem, wraz z informacjami na temat monitorowania kredytu lub usług ochrony tożsamości, jeśli będzie to uzasadnione.

W międzyczasie warto traktować z ostrożnością wszelkie niechciane połączenia, wiadomości tekstowe lub e-maile, które rzekomo pochodzą od AnMed, zwłaszcza jeśli proszą o potwierdzenie danych osobowych, kliknięcie linku lub dokonanie płatności. Oszuści często szybko reagują po nagłośnionym naruszeniu, mając nadzieję na wykorzystanie osób, które są zaniepokojone i szukają aktualnych informacji.

Szerzej rzecz ujmując, ten incydent przypomina, że naruszenia danych w służbie zdrowia niosą ze sobą konsekwencje, które wykraczają poza początkową awarię. Nawet po przywróceniu linii telefonicznych i wznowieniu wizyt, ujawnione dane medyczne i finansowe mogą krążyć przez lata, napędzając kradzież tożsamości, oszustwa ubezpieczeniowe i ukierunkowany phishing długo po tym, jak nagłówki gazet przeminą.

Praktyczne wnioski

Jeśli korzystasz z opieki w AnMed lub jakimkolwiek systemie opieki zdrowotnej, który doświadcza podobnego incydentu, rozważ następujące kroki:

  • Śledź oficjalne komunikaty AnMed i wiarygodne lokalne doniesienia prasowe, zamiast polegać na plotkach lub niezweryfikowanych twierdzeniach z mediów społecznościowych
  • Uważnie sprawdzaj wyciągi bankowe i ubezpieczeniowe pod kątem nieznanych opłat lub roszczeń w tygodniach po każdym powiadomieniu o naruszeniu
  • Rozważ ustanowienie alertu oszustwa lub blokady kredytowej, jeśli otrzymasz potwierdzenie, że Twój numer ubezpieczenia społecznego lub dane finansowe zostały ujawnione
  • Bądź sceptyczny wobec niechcianych wiadomości odnoszących się do naruszenia i weryfikuj każdą prośbę o podanie danych osobowych, kontaktując się bezpośrednio z AnMed za pośrednictwem znanego numeru telefonu

Ataki ransomware na szpitale raczej nie zwolnią w najbliższym czasie, a incydent w AnMed jest wyraźnym przykładem tego, dlaczego pacjenci, a nie tylko działy IT, muszą być zaangażowani w to, jak ich dostawcy opieki zdrowotnej chronią i ujawniają wrażliwe informacje.