Витік даних Change Healthcare на 192,7 млн записів: що це означає для конфіденційності пацієнтів

Цифри важко усвідомити. У 2024 році атака програм-вимагачів на Change Healthcare, клірингову компанію, яка обробляє платіжні та страхові транзакції для значної частини системи охорони здоров’я США, призвела до викрадення особистої та медичної інформації 192,7 мільйонів осіб. Цей єдиний витік медичних даних тепер є найбільшим за всю історію, значно перевершивши всі попередні інциденти.

Для контексту: ця цифра становить більше половини населення Сполучених Штатів. Це не результат десятків окремих інцидентів протягом року. Це сталося внаслідок однієї атаки на одну компанію, яка перебувала в центрі взаємопов'язаної мережі постачальників медичних послуг, страховиків і пацієнтів.

Як одна атака зачепила 192,7 мільйона людей

Роль Change Healthcare у системі охорони здоров’я США зробила її надзвичайно цінною мішенню. Як клірингова компанія, вона обробляла претензії та транзакції, що пов’язували тисячі лікарень, клінік, аптек і страховиків. Коли зловмисники проникли в її мережу, вони отримали доступ не лише до даних однієї організації. Вони отримали доступ до центрального сховища, яке охоплювало величезний зріз усієї галузі охорони здоров’я.

Цей витік відбувся за схемою, типовою для масштабних інцидентів з програмами-вимагачами: зловмисники отримали початковий доступ, перемістилися латерально через внутрішні системи, виявили та викрали конфіденційні дані, а потім запустили програму-вимагач, щоб порушити роботу. Лише операційний збій спричинив каскадні проблеми в усьому секторі охорони здоров’я, коли постачальники не могли обробляти претензії тижнями. Але довготривалішою шкодою є викриття медичних записів, страхової інформації та особистих ідентифікаторів майже 193 мільйонів осіб.

Такий ризик, пов'язаний зі сторонніми постачальниками, не є унікальним для Change Healthcare. Злам TriZetto, в результаті якого було викрадено 3,4 млн записів пацієнтів, відбувся за схожою схемою, коли зловмисники атакували технологічного посередника в сфері охорони здоров’я, а не лікарню безпосередньо. Коли один постачальник обслуговує сотні клієнтів у сфері охорони здоров’я, одне успішне вторгнення може поширитися на мільйони людей, які ніколи безпосередньо не взаємодіяли зі зламаною компанією.

Чому охорона здоров’я є постійною мішенню

Організації охорони здоров’я стали одними з найчастіше зламуваних секторів з кількох взаємопов’язаних причин. Медичні записи містять унікально щільну комбінацію особистої, фінансової та медичної інформації, що робить їх ціннішими для злочинців, ніж звичайні фінансові записи. Водночас багато організацій охорони здоров’я працюють з невеликою маржею, покладаються на застарілу інфраструктуру і стикаються з регуляторним та операційним тиском, який може уповільнювати покращення безпеки.

Масштаб витоку Change Healthcare є надзвичайним, але частота витоків медичних даних не є незвичною. Інциденти, що зачіпають великі групи пацієнтів, реєструються постійно в останні роки: від великих державних систем охорони здоров’я до менших спеціалізованих постачальників. Злам NYC Health and Hospitals, який викрив 1,8 млн відбитків пальців, ілюструє, як навіть біометричні дані, що зберігаються державними установами, можуть бути скомпрометовані, коли мережа стороннього постачальника недостатньо захищена.

Схема в усіх цих інцидентах однакова: зловмисники знаходять слабке місце, часто через скомпрометовані облікові дані, невстановлені патчі або недостатньо захищений віддалений доступ, а потім переміщуються мережами, які не були побудовані для стримування рішучого зловмисника.

Що це означає для вас

Якщо ви отримували медичну допомогу в Сполучених Штатах у будь-який момент до або протягом 2024 року, існує значна ймовірність, що ваша інформація була серед записів, викритих у витоку Change Healthcare. Як повідомляється, викрадені дані включають імена, адреси, номери соціального страхування, страхову інформацію, а в багатьох випадках – детальні медичні записи.

Для пацієнтів це означає, що ризик – це не лише крадіжка особистих даних. Він включає потенційне шахрайство зі страхуванням, цілеспрямовані фішинг-атаки з використанням особистих медичних даних, а також довгострокове викриття конфіденційної медичної історії. Медичну інформацію, на відміну від номера кредитної картки, не можна змінити.

Для медичних працівників і адміністраторів цей витік є гострим нагадуванням, що безпека даних пацієнтів залежить не лише від захисту їхньої власної організації, а й від кожного постачальника та партнера, підключеного до їхніх систем. Витоки, пов'язані зі сторонніми постачальниками, продовжують становити значну частку інцидентів у сфері охорони здоров'я, і випадок Change Healthcare ставить нагальні питання про те, наскільки ретельно перевіряються та контролюються ці зв’язки.

Для організацій охорони здоров’я цей витік, зокрема, висвітлює кілька конкретних сфер, які варто переглянути:

  • Контроль доступу сторонніх осіб: Постачальники з доступом до внутрішніх систем повинні проходити таку ж ретельну перевірку, як і внутрішні користувачі, включно зі строгими політиками облікових даних і сегментацією мережі, яка обмежує, наскільки далеко може сягнути будь-яка окрема точка доступу.
  • Безпека віддаленого доступу: VPN з обов’язковою багатофакторною автентифікацією є базовим захистом для віддаленого доступу до внутрішніх систем. Витік Change Healthcare ілюструє, що скомпрометовані облікові дані можуть бути точкою входу, але сам лише VPN не є повним захистом. Його потрібно поєднувати із сегментацією, моніторингом і можливостями реагування.
  • Мінімізація даних: Організації повинні проводити аудит того, які дані вони передають стороннім постачальникам, зберігаючи та передаючи лише те, що необхідно для операційної діяльності.

Варто чітко розуміти, що можуть і чого не можуть робити інструменти безпеки, такі як VPN. VPN захищають канал, яким передаються дані, особливо для віддалених працівників, які отримують доступ до клінічних систем, або для телемедичних комунікацій, які мають залишатися приватними. Вони є важливим рівнем захисту для медичних працівників, які працюють поза клінічною мережею. Але витік Change Healthcare не був насамперед збоєм безпеки віддаленого доступу. Він включав глибші системні проблеми, пов’язані з архітектурою мережі та латеральним переміщенням, проблеми, які вимагають багаторівневого захисту, що виходить далеко за межі одного інструменту.

Практичні висновки

Якщо ви вважаєте, що ваші дані могли бути порушені витоком Change Healthcare або будь-яким подібним інцидентом, є конкретні кроки, які варто зробити. Відстежуйте свої рахунки за медичне страхування на наявність незнайомих претензій. Розмістіть попередження про шахрайство або заморозьте кредит в основних кредитних бюро. Будьте уважні до спроб фішингу, які використовують особисті медичні дані, щоб виглядати легітимними.

Для професіоналів та адміністраторів у сфері охорони здоров’я урок рекордного витоку 2024 року полягає в тому, що відносини з постачальниками – це відносини безпеки. Кожне стороннє підключення до клінічної мережі є потенційною точкою входу, яка заслуговує на ретельну, постійну оцінку. Масштаб того, що сталося в Change Healthcare, відображає не просто вразливості однієї компанії, а ризики, пов’язані з побудовою галузі на тісно взаємопов’язаній, недостатньо захищеній інфраструктурі. Усунення цих ризиків вимагає інвестицій у безпеку на кожній ланці ланцюга, а не лише на найпомітніших.