حملات سایبری رو به رشد در صنعت مراقبت‌های پزشکی

امروزه حملات سایبری در صنعت پزشکی رو به افزایش رفته بنابراین باید:

صنعت مراقبت‌های پزشکی برای مقابله با حملات سایبری روبه رشدی که این حوزه را تهدید می‌کنند، باید اقدامات و سیاست‌های امنیتی خود را افزایش و گسترش دهد.

اگر از دیدگاه امنیت سایبری نگاهی به سال 2016 داشته باشیم، دو روند کلی را مشاهده خواهیم کرد:

• گسترش فعالیت‌های باج‌افزاری که این صنعت را تبدیل به یک صنعت 1 میلیارد دلاری کرده است
• هدف‌گیری سازمان‌های بهداشتی توسط هکرها برای بدست آوردن اطلاعات پزشکی بیماران در راستای کسب منفعت و سودجویی

حملات باج‌افزاری به سازمان‌های بهداشتی

یکی از نمونه‌های بارز هر دو روندی که در ابتدا اشاره شد، در فوریه 2016 یا همان بهمن 1394 اتفاق افتاد و مربوط به یک حمله باج‌افزاری بسیار گسترده در مرکز بهداشتی Hollywood Presbyterian در کالیفرنیای جنوبی بود. این حمله به همان سبک کلاسیک همیشگی یعنی با کلیک روی لینک ارسال شده به ایمیل یکی از کارمندان بیمارستان راه‌اندازی شد.

همین عمل ساده امکان نفوذ به کل شبکه و شروع پروسه قفل کردن چندین انبار و پایگاه اطلاعاتی را برای این نرم‌افزار مخرب فراهم کرد. کمی بعد، کارمندان IT مجبور به قطع کل شبکه شده و کادر بیمارستان برای ثبت اطلاعات پرونده‌های پزشکی، محدود به استفاده از کاغذ و قلم شدند. صدها بیمار به سایر بیمارستان‌های نزدیک منتقل شده و بیشتر رویه‌های پزشکی کنسل شدند. بعضی از بخش‌های بیمارستان‌ها کاملا از کار افتادند. مدیران بیمارستان‌ها بعد از بررسی اوضاع و مذاکرات مختلف تسلیم شده و نهایتا حدود 17 هزار دلار باج پرداخت کردند.

هر چند که این حادثه سرخط بسیاری از خبرها را از آن خود کرد، اما این فقط یک نمونه از حوادثی بود که تبدیل به یک روند متداول شد. در آن ماه بیمارستان‌هایی از ایالت‌های مختلفی مثل هندرسون و کنتاکی در امریکا و نویس در آلمان هدف حملاتی مشابه قرار گرفتند.

این حملات در سال 2016 ادامه پیدا کردند، در سه ماه آخر سال 2016، مرکز پزشکی Keck متعلق به دانشکده پزشکی دانشگاه کالیفرنیا نیز حملات باج‌افزاری به دو بیمارستان و شش سایت مختلف از مرکز بهداشتی نیوجرسی را گزارش داد.

تخمین زده می‌شود که 88 درصد از حملات باج‌افزاری طی سه ماهه دوم سال 2016، سازمان‌های بهداشتی را هدف گرفته بودند. این خطرات آن‌قدر نگران‌کننده و جدی هستند که Jocelyn Samuels مدیر اداره HHS در زمینه حقوق مدنی گفته است:

“یکی از مهم‌ترین خطراتی که در حال حاضر محرمانگی اطلاعات پزشکی را تهدید می‌کند، خطراتی است که حملات سایبری از جمله باج‌افزارها برای جامعیت و دسترس‌پذیری داده‌ها در سیستم‌های الکترونیکی اطلاعات سلامت ایجاد کرده‌اند.”

خوشبختانه آسیب ایجاد شده توسط اکثر این حملات باج‌افزاری صرفا محدود به از کار افتادگی موقت و خدشه‌دار کردن تصویر این سازمان‌ها در نزد اذهان عمومی است. متأسفانه، خطرات بزرگ‌تری هستند که صنعت بهداشت و سلامت باید نگران آن‌ها باشد.

هکری به نام The DarkOverLord

در تابستان 2016، اطلاعات پزشکی خصوصی بیش از 655 هزار نفر در حملات سه‌گانه‌ای که توسط هکری تحت عنوان “The DarkOverLord,” انجام شده بود، به خطر افتاد. این هکر قبلا یک کارشناس باج‌افزار بوده که حالا تصمیم گرفته است وارد بازی سرقت پرونده‌های مربوط به اطلاعات سلامت محافظت شده (PHI) شود. او از طریق سیستم فروش نرم‌افزار به عنوان سرویس (SaaS) که این سه کمپانی از آن‌ها استفاده می‌کردند، به این اطلاعات دسترسی پیدا کرد.

بین این سه حمله، بزرگ‌ترین آن‌ها بر علیه یک کلینیک پزشکی در آتلانتا صورت گرفته بود که منجر به دسترسی هکر به 397 هزار پرونده از بیماران شد از جمله اطلاعات مربوط به بیمه سلامت و شماره بیمه‌نامه آن‌ها. رخنه بعدی باعث به خطر افتادن 210 هزار پرونده شد که حاوی شماره تأمین اجتماعی کاربران بود.

این رخنه بعدا وقتی کشف شد که The DarkOverLord با این سه کمپانی تماس گرفت، به آن‌ها درباره رخنه هشدار داد و اسکرین شات‌هایی از داده‌های افشا شده بیماران که در وب‌سایتی به نام RealDealMarket منتشر شده بود را برای آن‌ها ارسال کرد. این وب‌سایت در دارک وب قرار دارد و یکی از درگاه‌های متداولی است که مجرمین سایبری از آن برای خرید و فروش و تبادل همه‌چیز از جمله اطلاعات کارت‌های اعتباری به سرقت رفته، پرونده‌های پزشکی بیماران و حتی مواد مخدر استفاده می‌کنند.

DarkOverLord هر سه سازمان را تهدید کرده بود که قصد دارد اطلاعات را به بالاترین قیمت بفروشد مگر اینکه این سازمان‌ها به ازای هر پرونده به سرقت رفته 1 دلار به وی پرداخت کنند. تا به امروز هیچ گزارش رسمی درباره این که آیا این کمپانی‌ها مبلغ درخواست شده را پرداخت کرده‌اند یا خیر، منتشر نشده است.

حملات سایبری به سازمان‌های پزشکی و بهداشتی در حال افزایش است

این حملات سایبری در صنعت پزشکی نمونه کوچکی از رخنه‌هایی هستند که طی چند سال گذشته در صنعت مراقبت بهداشتی رخ داده‌اند. در واقع 80 درصد از مدیران صنعتی در نظر سنجی انجام شده توسط KPMG اعلام کرده‌اند که در سال 2015 بخش فناوری اطلاعات سازمان آن‌ها دچار رخنه‌های اطلاعاتی و حملات سایبری شده است.

به عنوان یک نمونه از افزایش چشمگیر حملات هدفمند، سازمان تحقیقات امنیتی بزرگ Ponemon تخمین می‌زند که حملات سایبری به سیستم‌های اطلاعاتی بخش مراقبت‌های پزشکی بین سال‌های 2010 و 2015، 125 درصد افزایش پیدا کرده است. در واقع پنج مورد از هشت رخنه اطلاعاتی بزرگی که در اطلاعات پزشکی صورت گرفته، در سال 2015 اتفاق افتادند که در این رخنه‌ها بیش از 100 میلیون پرونده پزشکی به سرقت رفت. هزینه این حملات در این صنعت حدود 6.2 میلیارد دلار در سال برآورد می‌شود.

مطالعه‌ای که توسط IBM X-Force صورت گرفت، روند گسترش این خطرات را با دو مقایسه زیر تشریح کرده است:

پنج صنعتی که در سال 2015 یعنی 1394 بیشتر از سایر صنایع هدف حملات سایبری قرار گرفته‌اند:

1. بهداشت و درمان
2. تولید
3. خدمات مالی
4. دولت‌ها
5. حمل و نقل

پنج صنعتی که در سال 2014 یعنی 1393 بیشتر از سایر صنایع هدف حملات سایبری قرار گرفته‌اند:

1. خدمات مالی
2. اطلاعات / ارتباطات
3. تولید
4. خرده فروشی
5. انرژی / صنایع آب و برق

به‌علاوه، مطالعه‌ای که توسط Association of Corporate Counsel صورت گرفت، نشان داد که 97 درصد از نمایندگان شرکت‌های مراقبت بهداشتی و پزشکی بر این باورند که سازمان آن‌ها نسبت به سایر صنایع بیشتر در معرض خطرات سایبری قرار دارد. بعضی از یافته‌های این تحقیق عبارتند از:

• 70 درصد کسانی که در این نظرسنجی شرکت داشتند، در حال تلاش برای افزایش آگاهی و تخصص امنیتی افراد هستند.
• 80 درصد آن‌ها گفته‌اند که پیش از این از آن‌ها خواسته شده که ارزیابی کنند آیا در صورت وقوع حوادث امنیتی، سازمان مربوطه ملزم به گزارش دادن حادثه هست یا خیر. از اکثر آن‌ها خواسته شده که رویه‌ها و خط‌مشی‌های داخلی مربوطه را در راستای برآورده کردن این الزام تنظیم کنند.
• یک سوم آن‌ها گفته‌اند که طرح‌های سازمان‌شان برای مقابله با جدیدترین خطرات سایبری یا تغییرات سازمانی، قدیمی و منسوخ است.
• 40 درصد آن‌ها اعلام کرده‌اند که سازمان‌ها یا مشتریان‌شان طرح‌هایی دارند که بیش از حد کلی هستند و فاقد راهنمایی‌ها و بررسی‌های خاص و دقیق هستند.

دلایل هدف گرفتن صنعت بهداشت و درمان

جای تعجب نیست که امروزه هکرها متوجه میزان سودآوری بالقوه صنعت مراقبت‌های پزشکی شده‌اند. اطلاعات شخصی در بازار سیاه ارزش و قیمت بسیار بالایی دارند. در گزارش دیگری که موسسه InfoSec منتشر کرده، مشخص شد که در سال 2015 قیمت اطلاعات پزشکی از جمله اطلاعات بیمه افراد در بازار سیاه و دارک وب از اطلاعاتی مثل شماره تأمین اجتماعی افراد بیشتر شده است. یکی از جنبه‌های مهم پرونده‌های پزشکی این است که برخلاف کارت اعتباری نمی‌توان آن‌ها را کنسل یا مجددا صادر کرد. شاید به همین علت است که علاقه هکرها به اطلاعات پزشکی نسبت به اطلاعات کارت‌های اعتباری ده برابر شده است.

از طرف دیگر امروزه کلینک‌ها و بیمارستان‌ها برای انجام کارهای مختلف‌شان نیاز به استفاده پایدار از شبکه و دسترس‌پذیری صددرصد دارند. متأسفانه خیلی از سازمان‌های بهداشتی و پزشکی نیروی متخصص لازم در زمینه امنیت سایبری را ندارند. مهم‌تر از آن، اینکه مراکز بهداشتی معمولا از کامپیوترهایی استفاده می‌کنند که هیچ مکانیزم مدیریتی و حفاظتی ندارند.

هر چند در حال حاضر فعالان و مدیران این صنعت، مشاوران حقوقی و دولت‌ها از میزان جدی بودن این مسئله آگاه شده‌اند اما هنوز برای مقابله با حجم روزافزون این حملات نیاز به تلاش بسیار بیشتری وجود دارد.