Gangi ransomware udoskonaliły taktykę, która czyni organizacje opieki zdrowotnej szczególnie podatnymi: podwójne wymuszenie. Zamiast po prostu blokować systemy szpitali lub ubezpieczycieli i żądać zapłaty za przywrócenie dostępu, atakujący najpierw wykradają wrażliwe pliki, a następnie grożą ich publicznym ujawnieniem, jeśli okup nie zostanie zapłacony. Dla pacjentów oznacza to, że skutki naruszenia danych w opiece zdrowotnej nie kończą się na przestoju systemów. Może to oznaczać, że głęboko osobiste dokumenty, w tym notatki dotyczące zdrowia psychicznego i historie leczenia, trafią do sieci.

Czym jest ransomware z podwójnym wymuszeniem?

Tradycyjne ataki ransomware były stosunkowo proste: zaszyfrować pliki ofiary, a następnie zażądać zapłaty za klucz deszyfrujący. Podwójne wymuszenie dodaje drugą warstwę presji. Przed zaszyfrowaniem czegokolwiek atakujący po cichu wykradają kopie wrażliwych danych. Dzięki temu, nawet jeśli organizacja ofiary ma solidne kopie zapasowe i może przywrócić systemy bez płacenia, przestępcy wciąż mają kartę przetargową. Mogą grozić opublikowaniem skradzionych plików na stronach z wyciekami lub sprzedażą ich innym złym podmiotom, zmuszając organizacje do niemożliwego wyboru między zapłaceniem a ryzykiem publicznego zrzutu danych.

Ta strategia stała się powszechna w wielu branżach, ale w opiece zdrowotnej działa inaczej. Zgodnie z wytycznymi Narodowych Instytutów Zdrowia dotyczącymi ryzyka naruszeń danych medycznych, dokumentacja medyczna niesie ze sobą wyjątkowy rodzaj wrażliwości, którego często nie mają inne skradzione dane. Numer karty kredytowej, który wyciekł, można anulować i wydać ponownie. Wyciek diagnozy zdrowia psychicznego, statusu HIV czy leczenia uzależnień nie może zostać cofnięty, gdy stanie się publiczny.

Dlaczego dane medyczne są głównym celem

Świadczeniodawcy, ubezpieczyciele oraz ich liczni zewnętrzni dostawcy przechowują ogromne ilości informacji: numery PESEL, dane ubezpieczeniowe, historie recept i notatki kliniczne. To połączenie sprawia, że dane medyczne są niezwykle cenne na podziemnych rynkach i wyjątkowo bolesne w razie ujawnienia. Atakujący o tym wiedzą, dlatego sektor ten stał się ulubionym celem operacji ransomware opartych na podwójnym wymuszeniu.

Warto również zauważyć, że organizacje opieki zdrowotnej często działają na złożonych, wzajemnie połączonych sieciach obejmujących systemy elektronicznej dokumentacji medycznej, platformy rozliczeniowe, izby rozliczeniowe ubezpieczeń i zewnętrznych wykonawców. Każde z tych połączeń to potencjalny punkt wejścia. Słabość u jednego dostawcy może kaskadowo narazić pacjentów w całej sieci świadczeniodawców.

Jesteś narażony, nawet jeśli nigdy nie wybierałeś świadczeniodawcy

Jednym z najbardziej frustrujących aspektów incydentów ransomware w opiece zdrowotnej jest to, że pacjenci często nie mają bezpośredniego związku z organizacją, która została naruszona. Twoje dane mogą przechodzić przez laboratorium, które przetwarza twoje badania krwi, firmę rozliczeniową, której zleca to gabinet lekarski, lub pośrednika ubezpieczeniowego, o którym nigdy nie słyszałeś. Nie wybierałeś tych organizacji, nie możesz łatwo zweryfikować ich praktyk bezpieczeństwa, a mimo to naruszenie w którejkolwiek z nich może zagrozić twoim danym osobowym dotyczącym zdrowia.

To jeden z powodów, dla których problem ransomware w sektorze opieki zdrowotnej jest wspólnym zmartwieniem, a nie indywidualnym. Żadna ilość osobistej ostrożności nie izoluje całkowicie pacjenta przed naruszeniem w systemach szpitala, laboratorium czy ubezpieczyciela.

Jak chronić swoją dokumentację medyczną

Chociaż nie możesz kontrolować, jak każdy dostawca usług medycznych zabezpiecza swoją sieć, możesz ograniczyć swoją ekspozycję podczas korzystania z portali pacjenta, platform telezdrowia i witryn ubezpieczeniowych.

Korzystaj z VPN podczas uzyskiwania dostępu do portali pacjenta w publicznych lub współdzielonych sieciach Wi-Fi, takich jak w przychodni, na lotnisku czy w kawiarni. Szyfruje to połączenie, dzięki czemu dane logowania i sesji nie są łatwo przechwytywane w niezabezpieczonych sieciach.

Włącz uwierzytelnianie wieloskładnikowe na każdym portalu pacjenta i koncie ubezpieczeniowym, które je oferuje. Nawet jeśli dane logowania zostaną naruszone w innym wycieku, MFA dodaje kluczową barierę przed nieautoryzowanym dostępem.

Używaj unikalnych, silnych haseł do każdego konta związanego z opieką zdrowotną, zamiast używać tego samego hasła z innej strony. Ataki typu credential stuffing, w których atakujący próbują skradzionych haseł w wielu serwisach, są częstym następstwem naruszeń.

Monitoruj wyciągi ubezpieczeniowe i rachunki medyczne pod kątem nieznanych opłat lub usług, co może być wczesnym sygnałem, że twoje dane zdrowotne zostały wykorzystane w nieuczciwy sposób.

Pytaj swoich świadczeniodawców bezpośrednio o ich praktyki w zakresie bezpieczeństwa danych i powiadamiania o naruszeniach. Pacjenci mają prawo wiedzieć, jak chronione są ich informacje.

Co to oznacza dla Ciebie

Ransomware z podwójnym wymuszeniem zmieniło kalkulację zarówno dla organizacji opieki zdrowotnej, jak i pacjentów. Nie chodzi już tylko o to, czy szpital może przywrócić swoje systemy po ataku. Chodzi o to, czy twoje najbardziej wrażliwe dane osobowe trafią do publicznej wiadomości. Ponieważ pacjenci często nie mogą wybierać, którzy dostawcy przetwarzają ich dane za kulisami, osobista czujność ma większe znaczenie niż kiedykolwiek, choć nie jest to pełne rozwiązanie.

Rzeczywistość jest taka, że incydenty ransomware w opiece zdrowotnej prawdopodobnie będą trwać, dopóki podwójne wymuszenie pozostaje opłacalne dla atakujących. Wzmocnienie własnego bezpieczeństwa konta, korzystanie z VPN w niezabezpieczonych sieciach i zwracanie uwagi na nietypową aktywność na koncie nie powstrzyma naruszenia u twojego świadczeniodawcy, ale może ograniczyć, jak bardzo szkoda dotknie cię osobiście.

Bycie na bieżąco z tym, jak działają te ataki, i podejmowanie podstawowych kroków ochronnych opisanych powyżej, to jedna z niewielu form kontroli, jaką pacjenci faktycznie mają w tym krajobrazie. Małe nawyki, takie jak włączanie MFA i szyfrowanie połączenia w sieciach publicznych, sumują się, zwłaszcza gdy taktyki podwójnego wymuszenia nadal masowo atakują sektor opieki zdrowotnej.