醫療機構需要準備應對的主要網絡風險包括勒索軟件、僵尸網絡、云配置錯誤、網絡應用攻擊、網絡釣魚以及智能設備相關的威脅。
自新冠疫情以來，針對醫療行業的網絡攻擊大幅上升，尤其是在遠程醫療服務迅速發展的背景下。安全供應商和研究人員發現，針對醫療服務提供商的網絡釣魚攻擊、勒索軟件攻擊、網絡應用攻擊等威脅顯著增加。
今年醫療行業勒索軟件的增加，特別是Change Healthcare的數據泄露事件，引發了醫療高管的廣泛關注，成為業界的警鐘。
這一趨勢給醫療安全組織帶來了巨大壓力。Imperva的高級副總裁Terry Ray表示：“醫療行業正面臨一系列復雜的安全風險，網絡犯罪分子正在搜尋醫療機構掌握的敏感和有價值的數據，包括患者數據和企業數據。”
許多機構難以應對這些挑戰，因為它們資源不足，依賴易受攻擊的系統、第三方應用和API來提供服務。
此外，IT系統越來越多地被用于優化臨床互動和患者護理。例如，救護車隊可以通過現場的平板設備獲取患者的詳細病歷，英國的國家調動應用(NMA)正在引入，以現代化和標準化NHS所有救護車服務。
植入設備(如回路記錄儀)越來越多地被用于輔助診斷，如心律失常，這些設備與可穿戴設備一樣，支持遙測功能，能夠傳輸患者數據。基于這些數據作出的重要醫療決策，使得由于IT進步而獲得的患者數據更加豐富。
物聯網和IT在醫療中的使用增加，對提升臨床效率和決策準確性產生了積極影響，但也意味著對風險評估的關注必須更加深入。WithSecure首席顧問Stuart Morgan指出，過去將患者數據存放在上鎖的文件柜中的時代早已過去。
“患者數據被篡改或泄露的影響是顯而易見且廣為人知的，但服務中斷的風險——無論是惡意的還是意外的——可能帶來的后果極其嚴重，”Morgan在接受記者采訪時說道，“雖然這些系統具有一定的彈性，但備份系統本質上效率較低，救護車隊無法查看臨床歷史、患者無法獲得電子處方，或者在家工作的臨床醫生失去對救護車調度系統的訪問權限，都會對他們所在社區產生巨大影響，因為大部分流程是基于這些系統正常運行的前提編寫的。”
Imperva的Ray及其他安全專家已經確定了當前對醫療機構構成重大威脅的多個問題。以下是六大主要威脅。
1. 勒索軟件威脅上升
勒索軟件已成為當今醫療行業最大的網絡威脅之一。攻擊者發現，提供救命治療的醫療機構比幾乎所有其他行業的受害者更容易被勒索。許多醫療機構也因為推出了新的數字應用和服務(如遠程醫療服務)而更易受到攻擊。
自疫情以來，全球醫療行業的勒索軟件攻擊穩步增加。根據美國國家情報總監辦公室的一項研究，從2022年到2023年，醫療勒索軟件受害者增加了81%。安全供應商SonicWall報告稱，截至2024年，91%的與惡意軟件相關的醫療數據泄露事件都涉及勒索軟件。
公開披露的針對醫療服務和醫院的勒索軟件攻擊案例不勝枚舉。
例如，2021年5月，愛爾蘭公共衛生系統遭受勒索軟件攻擊，導致管理員不得不取消或重新安排數千個預約和手術，因為攻擊者鎖定了約2000個面向患者的系統。
2024年2月，Change Healthcare遭受了毀滅性的勒索軟件攻擊，嚴重擾亂了保險理賠處理、處方藥發放和財務結算，給美國各地的醫院、診所和藥房帶來了巨大影響。2024年8月，總部位于密歇根州的McLaren Health Care在12個月內第二次遭遇勒索軟件攻擊。
CynergisTek的總裁兼首席執行官Caleb Barlow表示，電子健康記錄(EHR)和相關系統是當今醫療行業面臨的最大風險。他說：“過去的攻擊表明，當醫院遭遇勒索軟件引發的停擺時，EHR的訪問會被關閉，患者可能需要轉移到其他地方接受治療。”他說：“這樣的攻擊可能會阻止對復雜慢性病患者(如糖尿病或癌癥患者)的關鍵處方信息和劑量的訪問。更糟糕的是，黑客甚至可能進一步操縱健康記錄數據，破壞患者護理。”
歷史上，醫療機構通常將這種風險轉移給網絡保險公司，但現在這變得越來越難，因為保險公司要求組織必須具備多因素認證和終端檢測與響應技術等特定控制措施，才允許他們購買勒索軟件保護，Barlow補充道。
2. 云漏洞和配置錯誤
許多醫療機構已采用云服務，作為更廣泛的數字化轉型計劃的一部分，疫情的爆發和對遠程醫療服務需求的增加加速了這一轉變，結果，患者健康信息(PHI)和其他敏感數據越來越多地托管在供應商的云環境中。
Infoblox產品副總裁Anthony James表示，這一趨勢擴大了醫療機構的攻擊面，使其更容易受到針對PHI、保險信息及其他敏感數據的攻擊，他指出，醫療機構通常使用多個云供應商和服務，這些服務的安全標準和做法各不相同，使得在整個云環境中實施一致的數據保護政策變得困難。
根據CyberRisk Alliance Business Intelligence為Infoblox進行的2021年調查，53%的醫療IT專業人士表示，他們的組織在過去12個月內經歷了與云相關的數據泄露。2021年3月，健康計劃管理服務提供商PeakTPA披露，約5萬名Medicare和Medicaid計劃客戶的PHI從其兩個云服務器中被訪問并提取。另一個廣為人知的案例發生在2020年，當時發現超過310萬名患者的敏感數據暴露在一個未經保護的云數據庫中，據信該數據庫屬于一家患者管理軟件供應商。
在Infoblox調查中，超過三分之一(34%)的受害者表示，他們的泄露事件給公司帶來了200萬美元或更多的損失，47%的人表示，他們曾遭遇針對云托管資產的惡意軟件攻擊，37%的人表示他們經歷了涉及PHI和其他存儲在云中的數據的內部攻擊。
根據醫療軟件開發商KMS Healthcare于2024年2月發布的報告，最近有61%的醫療公司表示在過去12個月內經歷過云網絡攻擊，其中86%的攻擊導致了財務損失或重大損害。
3. 網絡應用攻擊
近年來，針對醫療機構的網絡應用攻擊急劇增加，尤其是在新冠疫情期間，安全供應商Imperva的研究人員觀察到，2020年12月，針對醫院和其他醫療目標的網絡應用攻擊增加了51%。
2021年，醫療機構平均每月遭遇498次攻擊，其中跨站腳本攻擊最為常見，其次是SQL注入、協議操作攻擊和遠程代碼執行/遠程文件包含攻擊。
Ray表示：“從技術角度來看，網絡應用攻擊對資源不足的醫療機構來說是極具挑戰性的。”為了解決這個問題，醫療機構必須實施能夠提高對第三方應用程序和API連接可見性的控制措施，他指出，只有這樣，安全團隊才能了解誰在嘗試訪問關鍵數據，以及這種活動是否應該被允許。
根據Verizon的一項研究，2021年網絡應用成為醫療數據泄露的首要途徑，該研究基于對849起事件的分析，其中571起涉及確認的數據泄露。
SonicWall預計，到2024年，約60%的針對醫療機構的攻擊目標為Microsoft Exchange。
4. 惡意機器人攻擊
來自惡意機器人的流量——例如那些嘗試從網站抓取數據、發送垃圾郵件或下載不需要的軟件——為醫療機構帶來了另一個重大挑戰。當全球各國政府開始建立新的網站和數字基礎設施以支持新冠疫苗注冊和預約時，這一問題變得尤為緊迫。不法分子大量攻擊這些新建、未經充分測試的網站，導致惡意機器人流量激增。
Imperva表示，在疫情的第一年，醫療網站上的惡意機器人流量增加了372%。
Ray指出：“流量增加會導致合法用戶在嘗試訪問醫療服務提供商網站上的關鍵服務時遇到停機和中斷問題，這也可能導致機構的基礎設施成本增加，因為它們需要應對持續的高流量壓力，以保持正常運行。”
根據安全供應商Barracuda的研究，從2023年1月到2023年6月，惡意機器人占互聯網流量的30%。Imperva發布的最新2024年《惡意機器人報告》估計，惡意機器人占互聯網流量的近三分之一(32%)。
Imperva報告稱，醫療行業的惡意機器人流量有所增加，其中33.4%的網站流量來自惡意機器人，而上一年為31.7%。
惡意機器人可能導致醫療數據泄露，例如通過對患者賬戶的憑據填充攻擊，或抓取敏感的健康信息。
Imperva警告說，網絡犯罪分子以機密的健康信息為目標，如患者記錄、病史和保險詳情，因為這些被盜數據可以在暗網出售獲利或用于欺詐活動。
5. 網絡釣魚攻擊量增加
網絡釣魚攻擊對醫療行業構成了重大威脅，與其他行業類似。疫情再次為醫療機構中網絡釣魚攻擊量的增加提供了獨特的背景。Palo Alto Networks的Unit42團隊的研究人員最近進行的分析顯示，從2020年12月到2021年2月，針對藥房和醫院的網絡釣魚攻擊增加了189%，與疫苗相關的網絡釣魚攻擊在同一時期飆升了530%。
根據供應商的說法，在疫情早期，許多網絡釣魚誘餌涉及檢測和個人防護設備(PPE)。隨后，攻擊重點轉向了刺激措施和政府救濟計劃，最后又集中到疫苗接種推廣。
在疫情期間，由醫療信息和管理系統協會(HIMSS)對168名醫療網絡安全專業人士進行的一項調查發現，網絡釣魚是大多數安全事件的典型初始攻擊點。
HIMSS在其報告中指出：“網絡釣魚攻擊是受訪者報告的重大安全事件的主要類型。”它還指出，網絡釣魚者是導致醫療機構重大安全事件的主要威脅行為者。
根據《HIPAA Journal》報道，美國衛生與公共服務部(HHS)編制的統計數據顯示，從2009年10月到2021年底，共報告了4419起患者健康信息(PHI)泄露事件，其中18%涉及網絡釣魚攻擊或電子郵件賬戶的黑客攻擊。
網絡釣魚也是針對醫療機構的幾起高調攻擊的初始向量，例如Anthem(2015年)和Magellan Health(2020年)。
英國醫學期刊《BMJ》的一項研究發現，在一個月的時間內，發送給醫院員工的電子郵件中約有3%被懷疑為威脅。
盡管許多員工似乎意識到網絡釣魚的風險并做出了適當反應，但BMJ建議，需要持續進行教育，特別是關于通過社交媒體泄露對攻擊者有潛在利用價值的信息的風險。
6. 智能設備
可穿戴和植入式智能醫療設備被證明是一個潛在的網絡安全風險，這些技術確實能夠提供更好的分析，幫助診斷疾病并支持獨立生活，但在保護這些醫療技術時的失誤可能會使易受攻擊的用戶面臨潛在的攻擊。
2011年已故的Barnaby Jack通過藍牙黑客入侵胰島素泵的事件是一個標志性時刻，該攻擊的最大范圍約為300米。
自那時以來，Pen Test Partners的安全研究人員發現了在公共互聯網上的“閉環”胰島素試驗數據。
Pen Test Partners的總經理Ken Munro告訴記者：“在某個案例中，我們本可以修改由佩戴在體上的連續血糖監測儀讀取的數據，并自動遠程向大約3000名試驗用戶注入致命劑量的胰島素。”幸運的是，涉事供應商對我們的報告做出了非常快速的響應，并在同一天修復了系統。
Pen Test Partners還發現其他連接醫療設備存在安全問題，包括顱骨刺激器、藥物輸送泵和醫療機器人等設備，幸運的是，智能設備的威脅已被重視，監管機構正在采取行動。
例如，美國食品和藥物管理局(FDA)去年推出了《FD&C 524b》法案，旨在推動連接醫療設備的網絡安全。
