Атака программы-вымогателя на Cookeville Regional Medical Center: что произошло

Крупная утечка данных в Cookeville Regional Medical Center (CRMC) в Теннесси затронула почти 338 000 человек, что делает её одним из наиболее значимых инцидентов с программами-вымогателями в сфере здравоохранения, о которых сообщалось в последние месяцы. Больница официально уведомила регуляторов об утечке, возложив ответственность за атаку на группировку Rhysida, занимающуюся распространением программ-вымогателей и имеющую задокументированную историю нападений на медицинские учреждения.

Согласно раскрытой CRMC информации, злоумышленники похитили около 500 ГБ конфиденциальных данных до того, как утечка была остановлена. Скомпрометированные сведения включают имена пациентов, номера социального страхования, записи о медицинском лечении и реквизиты финансовых счетов. 18 апреля 2026 года CRMC приступила к рассылке уведомительных писем 337 917 пострадавшим лицам — после длительного криминалистического расследования масштабов и характера инцидента.

Разрыв между моментом атаки и уведомлением отражает всю сложность подобных расследований. Медицинские организации должны тщательно установить, к каким именно данным был получен доступ, кому они принадлежат и какие регуляторные обязательства применимы, прежде чем связываться с пострадавшими.

Как действует группировка Rhysida

Rhysida — это операция по распространению программ-вымогателей как услуги (ransomware-as-a-service), активная как минимум с 2023 года. Как правило, группировка получает первоначальный доступ через фишинговые письма или используя похищенные учётные данные, затем перемещается по сети в горизонтальном направлении, после чего похищает данные и развёртывает шифрование. Модель двойного вымогательства означает, что жертвы сталкиваются одновременно с заблокированными системами и угрозой публикации или продажи их данных в случае невыплаты выкупа.

Медицинские организации являются частыми мишенями, поскольку располагают ценными персональными и медицинскими данными, нередко эксплуатируют устаревшие системы с известными уязвимостями и испытывают колоссальное давление с целью скорейшего восстановления работы. Это давление может склонять их к выплате выкупа, что, в свою очередь, делает их привлекательными целями.

Взлом CRMC наглядно демонстрирует, как одно успешное вторжение может скомпрометировать записи сотен тысяч людей, включая такую чувствительную информацию, как история болезней и номера социального страхования.

Что это означает для вас

Если вы получили уведомительное письмо от CRMC или являетесь пациентом этого учреждения, вам необходимо незамедлительно предпринять конкретные шаги.

Тщательно отслеживайте состояние своих финансовых счетов. В результате утечки были раскрыты реквизиты финансовых счетов вместе с персональными идентификационными данными. Регулярно проверяйте выписки по банковским счетам и кредитным картам на предмет незнакомых транзакций. При обнаружении чего-либо подозрительного свяжитесь со своим финансовым учреждением.

Установите заморозку кредитной истории или предупреждение о мошенничестве. Поскольку номера социального страхования входят в число скомпрометированных данных, пострадавшие лица подвергаются повышенному риску кражи личных данных. Заморозка кредитной истории во всех трёх крупных кредитных бюро (Equifax, Experian и TransUnion) не позволит открыть новые счета на ваше имя без вашего явного разрешения. Предупреждение о мошенничестве — менее строгий вариант, при котором ваш файл помечается для дополнительной проверки.

Будьте бдительны в отношении фишинговых атак. Злоумышленники, получившие данные в результате подобных утечек, нередко используют их для составления убедительных фишинговых писем или телефонных звонков. Относитесь с подозрением к нежелательным сообщениям, в которых упоминается ваше медицинское обслуживание, особенно если вас просят перейти по ссылке или сообщить дополнительные личные данные.

Внимательно ознакомьтесь с уведомительным письмом. Письмо от CRMC должно содержать сведения о том, какая именно информация была затронута в вашем конкретном случае, а также информацию о любых услугах по мониторингу кредитной истории или защите личных данных, которые предлагает больница. Воспользуйтесь этими услугами, если они доступны.

Как медицинские организации и работники могут снизить риски

Для медицинских работников и администраторов инциденты, подобные взлому CRMC, подчёркивают важность многоуровневых мер безопасности. Кража учётных данных является одним из наиболее распространённых способов проникновения для группировок, использующих программы-вымогатели. Использование VPN, особенно в незащищённых или общедоступных сетях, помогает шифровать трафик и снижает риск перехвата учётных данных при передаче. Это особенно актуально для медицинских работников, получающих доступ к историям болезней пациентов или больничным системам удалённо.

Помимо использования VPN, обязательными условиями являются строгая парольная гигиена и многофакторная аутентификация во всех системах, работающих с защищёнными медицинскими данными. Обучение распознаванию фишинга по-прежнему остаётся одним из наиболее эффективных средств защиты от тактик первоначального вторжения, применяемых такими группировками, как Rhysida.

Регулярные аудиты прав доступа к чувствительным системам в сочетании с принципом минимально необходимых привилегий также способны ограничить свободу передвижения злоумышленника внутри сети. 500 ГБ данных, похищенных из CRMC, свидетельствуют о том, что у атакующих было достаточно времени и доступа для перемещения по значительной части информационной среды больницы.

Как оставаться защищённым от утечек в сфере здравоохранения

Утечка данных в CRMC напоминает о том, что медицинские данные относятся к наиболее чувствительной информации из существующих. Медицинские записи объединяют персональные идентификаторы, финансовые реквизиты и подробную историю здоровья в едином файле, что делает их исключительно ценными для преступников и исключительно опасными при раскрытии.

Если вы пострадали от этой утечки, действуйте незамедлительно. Заморозьте кредитную историю, отслеживайте состояние счетов и сохраняйте бдительность в отношении фишинга. Если вы работаете в сфере здравоохранения, воспринимайте этот инцидент как повод пересмотреть собственные привычки в области безопасности — в том числе то, как и откуда вы получаете доступ к пациентским системам. Инструменты для снижения личных рисков существуют; главное — применять их последовательно, не дожидаясь, пока инцидент вынудит вас это сделать.