Posledice kibernetičnega napada na zdravstvo se poslabšajo, ko je prizadetih 100 milijonov

V ostrem nadaljevanju februarskega velikega incidenta z izsiljevalsko programsko opremo je Change Healthcare nedavno razkril, da so bili ogroženi osebni podatki 100 milijonov posameznikov. Napad, ki je povzročil motnje storitev po vsej državi, je izkoristil slabosti v omrežju podjetja in razkril kritične ranljivosti v digitalni infrastrukturi zdravstvenega sektorja.

Kako se je napad odvil

Napadalci so izkoristili portal Citrix brez večfaktorske avtentikacije (MFA) in uporabili razkrite poverilnice za dostop do sistemov Change Healthcare. To jim je omogočilo, da so zaobšli primarno obrambo podjetja in ohranili nepooblaščen dostop devet dni, med katerimi so se bočno premikali po omrežju. Hekerji so pridobili ogromne količine osebnih podatkov, vključno z občutljivimi zdravstvenimi in osebnimi podatki (PII), preden so namestili izsiljevalsko programsko opremo za šifriranje datotek. Njihov vdor je nazadnje privedel do obsežnih motenj v več kot 100 zdravstvenih aplikacijah, ki so sestavni del kliničnih, zobozdravstvenih, zdravstvenih in farmacevtskih storitev. Napad je na tisoče ponudnikov zdravstvenih storitev odrezal od teh sistemov, kar je vplivalo na vse, od obdelave receptov do upravljanja kartotek bolnikov.

Tarča več skupin izsiljevalske programske opreme

Napad je bil sprva pripisan skupini z izsiljevalsko programsko opremo Alphv/BlackCat , skupini z zloglasno zgodovino ciljanja na podatke visoke vrednosti. Po uspešni infiltraciji in ohromitvi sistemov Change Healthcare je Alphv/BlackCat zahteval odkupnino v višini 22 milijonov dolarjev, ki jo je UnitedHealth plačal, da bi se izognil javni objavi podatkov o bolnikih. Vendar to še ni bil konec težav UnitedHealtha. Z drzno potezo je druga tolpa, znana kot RansomHub, marca poskusila še eno shemo izsiljevanja , kar je poudarilo ranljivost podjetij, ki so bile nekoč tarče skupin izsiljevalskih programov.

Ogroženi občutljivi podatki

Podjetje Change Healthcare je aprila potrdilo, da so bili med napadom najverjetneje ukradeni osebni podatki in zaščitene zdravstvene informacije (PHI). To je vključevalo imena, datume rojstva, naslove, številke socialnega zavarovanja, podatke o zavarovanju, podatke o zdravstvenem kartonu in podatke o zdravljenju. Medtem ko UnitedHealth ni poročal o prepričljivih dokazih o ukradbi celotne zdravstvene zgodovine, izpostavljeni podatki še vedno postavljajo posameznike v visoko tveganje kraje identitete, zavarovalniških goljufij in lažnih napadov.

Finančni izpad in koraki za prizadete posameznike

Stroški tega kibernetskega napada so za UnitedHealth presegli 1,1 milijarde dolarjev, kar zajema obnovitev podatkov, obvestila strankam in izboljšane varnostne protokole. UnitedHealth je prizadete posameznike začel obveščati julija in ponujal brezplačno zaščito identitete in storitve kreditnega spremljanja, da bi ublažili morebitno škodo zaradi kršitve. Prizadetim UnitedHealth svetuje previdnost pri spremljanju kreditnih in bančnih računov ter svari pred morebitnimi goljufijami z lažnim predstavljanjem, ki lahko izkoriščajo ukradene osebne podatke.

Izsledki kibernetske varnosti

Napad Change Healthcare dokazuje pomen strogih protokolov kibernetske varnosti v zdravstveni industriji. Večfaktorsko preverjanje pristnosti (MFA) na računih z visokimi privilegiji bi lahko hekerjem preprečilo začetni dostop in morda v celoti preprečilo kršitev podatkov. Zdravstveni sektor, ki upravlja z zelo občutljivimi informacijami in kritično infrastrukturo, mora dati prednost modelom ničelnega zaupanja, rednim varnostnim pregledom in usposabljanju zaposlenih, da ostane pred sofisticiranimi grožnjami.

Napad Change Healthcare poudarja, kako uničujoča je lahko kršitev za organizacije in posameznike, saj pusti dolgotrajne posledice za finančno, osebno in institucionalno varnost. Dogodek služi kot opomnik ponudnikom zdravstvenih storitev, naj okrepijo svojo obrambo pred naraščajočim valom napadov izsiljevalske programske opreme, saj so lahko posledice nezadostne kibernetske varnosti obsežne in drage.