Co się wydarzyło w kanadyjskim szpitalu

Atak ransomware na szpital w Kanadzie zakłócił działanie znacznie więcej niż tylko komputerów administracyjnych i dokumentacji pacjentów. Według doniesień Cybersecurity Insiders, atak unieruchomił systemy sterowania drzwiami, windami, wentylacją i klimatyzacją w placówce, zmuszając personel do zarządzania fizycznymi operacjami budynku bez automatycznych systemów, na których zwykle polega.

Jest to wyraźne odejście od incydentów ransomware, które zwykle trafiają na nagłówki. Większość relacji o atakach ransomware na szpitale w Kanadzie i gdzie indziej koncentrowała się na kradzieży danych pacjentów, dokumentacji rozliczeniowej lub informacji ubezpieczeniowych. Ten incydent jest inny, ponieważ pokazuje, że atakujący sięgają po technologię operacyjną, która utrzymuje szpital w fizycznym działaniu, a nie tylko po systemy IT przechowujące dokumentację.

Chociaż wstępne doniesienia nie ujawniły szczegółów dotyczących konkretnej grupy ransomware stojącej za tym atakiem, nazwy szpitala ani wysokości żądanego okupu, samo zakłócenie jest tutaj sednem. Kiedy w szpitalu przestają działać drzwi, windy i systemy kontroli klimatu, problem z kategorii IT niemal natychmiast zamienia się w zagrożenie dla bezpieczeństwa pacjentów.

Dlaczego ransomware atakuje teraz fizyczne systemy szpitalne, a nie tylko dokumentację

Szpitale stały się atrakcyjnym celem ransomware z prostego powodu: nie mogą sobie pozwolić na długotrwałe przestoje tak, jak inne firmy. Sprzedawca z zaszyfrowanymi serwerami może stracić sprzedaż na kilka dni. Szpital z niesprawną wentylacją, zablokowanymi drzwiami czy niedziałającymi windami natychmiast mierzy się z zagrożeniem dla opieki nad pacjentem, kontroli zakażeń i reagowania w nagłych wypadkach.

W wielu szpitalach systemy zarządzania budynkiem, sterowania HVAC i kontroli dostępu działają w sieciach, które są połączone – bezpośrednio lub pośrednio – z tą samą infrastrukturą, na której opiera się informatyka kliniczna i administracyjna. Kiedy ransomware rozprzestrzenia się w sieci szpitala, nie zawsze respektuje granicę między „IT” a „infrastrukturą budynkową”. Pojedynczy punkt wejścia może jednocześnie wpłynąć na sprzęt do monitorowania pacjentów, zamki w drzwiach i systemy wentylacyjne.

To przenikanie się cyfrowych i fizycznych zagrożeń wpisuje się w szerszy trend. Działania ransomware przekształciły się w dojrzałą gospodarkę przestępczą, z wyspecjalizowanymi partnerami, negocjatorami i infrastrukturą zbudowaną specjalnie po to, by wywierać presję na ofiary, aby szybko płaciły. Skalę tego zjawiska udokumentowano w najnowszych badaniach branżowych pokazujących, że ataków ransomware osiągających rekordowe poziomy w ostatnich kwartałach, co podkreśla, że incydenty takie jak ten w kanadyjskim szpitalu nie są odosobnionymi zdarzeniami, lecz częścią znacznie większej fali.

Podwójne i potrójne wymuszenie: model biznesowy stojący za atakami na opiekę zdrowotną

Logika finansowa tych ataków znacząco ewoluowała. Tradycyjne ransomware po prostu szyfrowało pliki i żądało zapłaty za klucz deszyfrujący. Obecnie wiele operacji stosuje taktykę podwójnego wymuszenia: kradzież wrażliwych danych przed zaszyfrowaniem systemów, a następnie groźbę ich publicznego ujawnienia, jeśli okup nie zostanie zapłacony. Niektóre grupy idą jeszcze dalej, sięgając po potrójne wymuszenie, które nakłada dodatkową presję na klientów, pacjentów lub partnerów biznesowych organizacji będącej ofiarą.

Dla szpitali tworzy to trudny rachunek zysków i strat. Nawet jeśli systemy kopii zapasowych pozwolą placówce odtworzyć zaszyfrowane pliki bez płacenia, groźba wycieku danych pacjentów, a w przypadkach takich jak ten – ciągłe zakłócenia w działaniu fizycznych systemów budynku, wywiera presję, by negocjować. Organy ścigania w wielu krajach podjęły kroki, aby rozbić osoby i sieci stojące za dużymi operacjami ransomware, w tym sankcje nałożone na operatorów powiązanych ze znaną infrastrukturą ransomware, takie jak sankcje nałożone na administratora Trickbota znanego jako Stern. Mimo to sam model biznesowy pozostaje na tyle dochodowy, że wciąż pojawiają się nowe ataki wymierzone w placówki opieki zdrowotnej.

Co pacjenci i personel medyczny mogą zrobić, aby chronić swoje dane

Pacjenci mają niewielki bezpośredni wpływ na to, jak szpital zabezpiecza swoją sieć, ale nadal istnieją sensowne kroki, które warto podjąć. Pacjenci dotknięci incydentem cybernetycznym u swojego świadczeniodawcy powinni zwracać uwagę na oficjalne powiadomienia o naruszeniach, monitorować wyciągi ubezpieczeniowe i rozliczeniowe pod kątem podejrzanej aktywności oraz zachować ostrożność wobec prób phishingu powołujących się na ten incydent. Skala potencjalnych szkód, jakie może spowodować wyciek danych medycznych, została wyraźnie pokazana przez naruszenie danych w Change Healthcare, które dotknęło ponad 190 milionów rekordów, i które unaoczniło, jak pojedynczy incydent ransomware w sektorze opieki zdrowotnej może wpłynąć na pacjentów daleko poza pierwotnym celem.

Personel medyczny i administratorzy IT powinni z kolei potraktować ten incydent jako przypomnienie, aby wszędzie tam, gdzie to możliwe, oddzielać technologię operacyjną – taką jak kontrola dostępu do budynku i systemy HVAC – od sieci klinicznych i administracyjnych. Regularne kopie zapasowe, przetestowane plany reagowania na incydenty i jasne protokoły komunikacji dotyczące funkcjonowania budynku podczas incydentu cybernetycznego przestały być opcjonalnym dodatkiem. Są one podstawowym wymogiem dla placówek, w których awaria sieci może bezpośrednio przełożyć się na zagrożenie bezpieczeństwa.

Co to oznacza dla Ciebie

Ten atak ransomware na szpital w Kanadzie jest sygnałem, że zagrożenia ransomware wykroczyły poza kradzież plików i wkroczyły do fizycznych przestrzeni, w których świadczona jest opieka. Niezależnie od tego, czy jesteś pacjentem, pracownikiem szpitala, czy po prostu osobą śledzącą wiadomości o cyberbezpieczeństwie, wniosek jest ten sam: incydenty ransomware w opiece zdrowotnej coraz częściej niosą ze sobą konsekwencje wykraczające daleko poza prywatność danych. Zachowanie czujności na powiadomienia o naruszeniach, zrozumienie, jak przebiegają te ataki, oraz wspieranie silniejszych praktyk bezpieczeństwa w placówkach medycznych to praktyczne sposoby reagowania na zagrożenie, które szybko nie zniknie.