เกิดอะไรขึ้นที่โรงพยาบาลในแคนาดา
การโจมตีด้วยแรนซัมแวร์ในโรงพยาบาลแห่งหนึ่งในแคนาดาได้รบกวนมากกว่าคอมพิวเตอร์ด้านธุรการและเวชระเบียนผู้ป่วย จากรายงานของ Cybersecurity Insiders การโจมตีดังกล่าวทำให้ระบบควบคุมสำหรับประตู ลิฟต์ การระบายอากาศ และการปรับอากาศภายในอาคารหยุดทำงาน ส่งผลให้เจ้าหน้าที่ต้องจัดการการดำเนินงานทางกายภาพของอาคารโดยปราศจากระบบอัตโนมัติที่พวกเขาต้องพึ่งพาตามปกติ
นี่เป็นการเบี่ยงเบนไปจากเหตุการณ์แรนซัมแวร์ที่มักเป็นข่าวพาดหัวอย่างเห็นได้ชัด การรายงานข่าวส่วนใหญ่เกี่ยวกับกรณีการโจมตีด้วยแรนซัมแวร์ในโรงพยาบาลทั้งในแคนาดาและที่อื่น ๆ มักมุ่งเน้นไปที่ข้อมูลผู้ป่วยที่ถูกขโมย บันทึกการเรียกเก็บเงิน หรือข้อมูลประกันภัย เหตุการณ์นี้แตกต่างออกไป เพราะแสดงให้เห็นว่าผู้โจมตีกำลังเจาะเข้าสู่เทคโนโลยีปฏิบัติการที่ช่วยให้โรงพยาบาลทำงานได้ทางกายภาพ ไม่ใช่เพียงแค่ระบบไอทีที่จัดเก็บบันทึกเท่านั้น
แม้ว่ารายละเอียดเกี่ยวกับกลุ่มแรนซัมแวร์ที่อยู่เบื้องหลังการโจมตีครั้งนี้ ชื่อของโรงพยาบาล และจำนวนเงินค่าไถ่ที่เรียกร้องจะยังไม่ถูกเปิดเผยในรายงานเบื้องต้น แต่การหยุดชะงักที่เกิดขึ้นนั้นคือประเด็นสำคัญ เมื่อประตู ลิฟต์ และระบบควบคุมสภาพอากาศภายในโรงพยาบาลหยุดทำงาน ผลกระทบจะเปลี่ยนจากปัญหาไอทีไปเป็นปัญหาความปลอดภัยของผู้ป่วยแทบจะทันที
เหตุใดแรนซัมแวร์จึงมุ่งเป้าไปที่ระบบกายภาพของโรงพยาบาล ไม่ใช่แค่ข้อมูล
โรงพยาบาลกลายเป็นเป้าหมายของแรนซัมแวร์ที่น่าสนใจด้วยเหตุผลง่าย ๆ คือ พวกเขาไม่สามารถทนต่อการหยุดทำงานเป็นเวลานานได้เหมือนธุรกิจอื่น ๆ ร้านค้าปลีกที่มีเซิร์ฟเวอร์ถูกเข้ารหัสอาจสูญเสียยอดขายไปสองสามวัน แต่โรงพยาบาลที่ระบบระบายอากาศถูกปิดการใช้งาน ประตูล็อก หรือลิฟต์ไม่ทำงาน ย่อมเผชิญกับความเสี่ยงในทันทีต่อการดูแลผู้ป่วย การควบคุมการติดเชื้อ และการตอบสนองฉุกเฉิน
โรงพยาบาลหลายแห่งใช้ระบบจัดการอาคาร การควบคุม HVAC และระบบควบคุมการเข้าออกบนเครือข่ายที่เชื่อมต่อไม่ว่าทางตรงหรือทางอ้อมกับโครงสร้างพื้นฐานเดียวกับที่ใช้สำหรับการประมวลผลทางคลินิกและธุรการ เมื่อแรนซัมแวร์แพร่กระจายไปทั่วเครือข่ายของโรงพยาบาล มันไม่ได้เคารพเส้นแบ่งระหว่าง “ไอที” กับ “สิ่งอำนวยความสะดวก” เสมอไป การเจาะเข้ามาเพียงจุดเดียวอาจส่งผลกระทบต่ออุปกรณ์เฝ้าระวังผู้ป่วย ล็อคประตู และระบบจัดการอากาศไปพร้อม ๆ กัน
การผสมผสานระหว่างความเสี่ยงทางดิจิทัลและกายภาพนี้เป็นส่วนหนึ่งของรูปแบบที่กว้างขึ้น ปฏิบัติการแรนซัมแวร์ได้เติบโตขึ้นเป็นเศรษฐกิจอาชญากรรมที่เติบโตเต็มที่แล้ว โดยมีพันธมิตร ผู้เจรจา และโครงสร้างพื้นฐานที่สร้างขึ้นโดยเฉพาะเพื่อกดดันให้เหยื่อจ่ายเงินอย่างรวดเร็ว ขนาดของกิจกรรมนี้ได้รับการบันทึกไว้ในงานวิจัยอุตสาหกรรมล่าสุดที่แสดงให้เห็นว่า การโจมตีด้วยแรนซัมแวร์พุ่งสูงเป็นประวัติการณ์ในไตรมาสล่าสุด ซึ่งตอกย้ำว่าเหตุการณ์เช่นที่เกิดขึ้นในโรงพยาบาลของแคนาดาแห่งนี้ไม่ใช่เหตุการณ์ที่เกิดขึ้นอย่างโดดเดี่ยว แต่เป็นส่วนหนึ่งของกระแสที่ใหญ่กว่ามาก
การขู่กรรโชกสองและสามขั้นตอน: โมเดลธุรกิจเบื้องหลังการโจมตีภาคสาธารณสุข
ตรรกะทางการเงินเบื้องหลังการโจมตีเหล่านี้ได้พัฒนาไปอย่างมาก แรนซัมแวร์แบบดั้งเดิมเพียงแค่เข้ารหัสไฟล์และเรียกร้องเงินเพื่อแลกกับคีย์ถอดรหัส ทุกวันนี้ ปฏิบัติการจำนวนมากใช้กลยุทธ์การขู่กรรโชกสองขั้นตอน: ขโมยข้อมูลที่ละเอียดอ่อนก่อนเข้ารหัสระบบ จากนั้นจึงขู่ว่าจะเผยแพร่ข้อมูลนั้นต่อสาธารณะหากไม่จ่ายค่าไถ่ บางกลุ่มยังไปไกลกว่านั้น โดยใช้แนวทางการขู่กรรโชกสามขั้นตอนที่เพิ่มแรงกดดันไปยังลูกค้า ผู้ป่วย หรือคู่ค้าทางธุรกิจขององค์กรเหยื่อ
สำหรับโรงพยาบาล สิ่งนี้สร้างสมการที่ยากลำบาก แม้ว่าระบบสำรองข้อมูลจะช่วยให้สถานพยาบาลสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสโดยไม่ต้องจ่ายเงินได้ แต่ภัยคุกคามจากการรั่วไหลของข้อมูลผู้ป่วย หรือในกรณีเช่นนี้ การหยุดชะงักอย่างต่อเนื่องของระบบกายภาพของอาคาร ก็เพิ่มแรงกดดันให้ต้องเจรจา หน่วยงานบังคับใช้กฎหมายในหลายประเทศได้ดำเนินการเพื่อขัดขวางตัวบุคคลและเครือข่ายเบื้องหลังปฏิบัติการแรนซัมแวร์รายใหญ่ รวมถึงการดำเนินการคว่ำบาตรต่อผู้ปฏิบัติการที่เชื่อมโยงกับโครงสร้างพื้นฐานแรนซัมแวร์ที่มีชื่อเสียง เช่น มาตรการคว่ำบาตรที่บังคับใช้กับผู้ดูแลระบบ Trickbot ที่รู้จักกันในชื่อ Stern ถึงกระนั้น โมเดลธุรกิจพื้นฐานยังคงทำกำไรได้มากพอที่การโจมตีใหม่ ๆ ยังคงเกิดขึ้นกับเป้าหมายในภาคสาธารณสุขอย่างต่อเนื่อง
สิ่งที่ผู้ป่วยและบุคลากรทางการแพทย์สามารถทำได้เพื่อปกป้องข้อมูลของตน
สำหรับผู้ป่วย แทบไม่สามารถควบคุมได้โดยตรงว่าโรงพยาบาลจะรักษาความปลอดภัยเครือข่ายของตนอย่างไร แต่ก็ยังมีขั้นตอนที่มีความหมายที่ควรค่าแก่การปฏิบัติ ผู้ป่วยที่ได้รับผลกระทบจากเหตุการณ์ทางไซเบอร์ของผู้ให้บริการด้านสุขภาพควรเฝ้าระวังการแจ้งเตือนการละเมิดข้อมูลอย่างเป็นทางการ ตรวจสอบใบแจ้งยอดประกันภัยและการเรียกเก็บเงินว่ามีกิจกรรมที่ผิดปกติหรือไม่ และระมัดระวังความพยายามฟิชชิงที่อ้างอิงถึงเหตุการณ์ดังกล่าว ขนาดของสิ่งที่อาจผิดพลาดได้เมื่อข้อมูลด้านสุขภาพถูกเปิดเผยนั้นปรากฏชัดเจนจาก การละเมิดข้อมูลของ Change Healthcare ที่กระทบมากกว่า 190 ล้านระเบียน ซึ่งแสดงให้เห็นว่าเหตุการณ์แรนซัมแวร์เพียงครั้งเดียวในภาคสาธารณสุขสามารถส่งผลกระทบเป็นลูกโซ่ไปยังผู้ป่วยในวงกว้างไกลเกินกว่าเป้าหมายเริ่มแรกได้อย่างไร
ในขณะเดียวกัน เจ้าหน้าที่ด้านสุขภาพและผู้ดูแลระบบไอที ควรถือว่าเหตุการณ์นี้เป็นเครื่องเตือนใจให้แบ่งแยกเทคโนโลยีปฏิบัติการ เช่น การควบคุมการเข้าออกอาคารและ HVAC ออกจากเครือข่ายทางคลินิกและธุรการทุกครั้งที่ทำได้ การสำรองข้อมูลอย่างสม่ำเสมอ แผนตอบสนองต่อเหตุการณ์ที่ผ่านการทดสอบ และระเบียบวิธีการสื่อสารที่ชัดเจนสำหรับการดำเนินงานอาคารระหว่างเหตุการณ์ทางไซเบอร์นั้น ไม่ใช่สิ่งเสริมที่เลือกได้อีกต่อไป แต่เป็นข้อกำหนดพื้นฐานสำหรับสถานพยาบาลที่การหยุดทำงานของเครือข่ายสามารถแปรเปลี่ยนเป็นอันตรายต่อความปลอดภัยได้โดยตรง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
การโจมตีด้วยแรนซัมแวร์ในโรงพยาบาลของแคนาดาครั้งนี้เป็นสัญญาณว่าภัยคุกคามจากแรนซัมแวร์ได้ขยับพ้นไปจากการขโมยไฟล์ และเข้าสู่พื้นที่ทางกายภาพที่มีการให้การดูแลรักษา ไม่ว่าคุณจะเป็นผู้ป่วย พนักงานโรงพยาบาล หรือเพียงผู้ที่ติดตามข่าวสารด้านความปลอดภัยทางไซเบอร์ ข้อสรุปก็คือสิ่งเดียวกัน: เหตุการณ์แรนซัมแวร์ในภาคสาธารณสุขกำลังมีผลกระทบที่ขยายออกไปไกลกว่าความเป็นส่วนตัวของข้อมูลมากขึ้นเรื่อย ๆ การเฝ้าระวังการแจ้งเตือนการละเมิดข้อมูล การทำความเข้าใจว่าการโจมตีเหล่านี้คลี่คลายอย่างไร และการสนับสนุนแนวปฏิบัติด้านความปลอดภัยที่เข้มแข็งขึ้นในสถาบันสุขภาพ คือวิธีที่นำไปปฏิบัติได้จริงเพื่อตอบสนองต่อภัยคุกคามที่ยังไม่หายไปไหนในเร็ววันนี้
