Inhoud
- Ransomware-aanvallen op zorgorganisaties
- De DarkOverLord Hacker
- Aanvallen op zorgbedrijven groeien
- Geen bugs, geen stress - Uw stapsgewijze handleiding voor het creëren van levensveranderende software zonder uw leven te vernietigen
- De redenen waarom de gezondheidszorg wordt gericht
Bron: Scanrail / Dreamstime.com
Afhaal:
De gezondheidszorg moet zijn beveiligingsmaatregelen verhogen en uitbreiden om aan deze groeiende bedreigingen het hoofd te bieden.
Terugkijkend op het jaar 2016 vanuit een oogpunt van cybersecurity vinden we twee duidelijke trends:
- De verspreiding van ransomware groeide zo ver dat het een industrie van $ 1 miljard werd
- De specifieke targeting van zorgorganisaties door hackers om gezondheidsinformatie van patiënten te verkrijgen voor winstoogmerk
Ransomware-aanvallen op zorgorganisaties
Een definitief voorbeeld van beide trends deed zich voor in februari 2016, in de veel gepubliceerde ransomware-aanval op het Hollywood Presbyterian Medical Center in Zuid-Californië. De aanval werd gelanceerd in de gebruikelijke klassieke stijl, het klikken van een link in een ingebed door een ziekenhuismedewerker. Door die eenvoudige actie kon de kwaadwillende software het netwerk infiltreren en het coderingsproces in tal van gegevenssilo's starten. Korte tijd later werd het IT-personeel gedwongen het netwerk te sluiten en waren ziekenhuispersoneel beperkt tot het gebruik van pen en papier voor het bijhouden van medische basisgegevens. Honderden patiënten werden omgeleid naar andere nabijgelegen ziekenhuizen en de meeste medische procedures werden geannuleerd. Sommige medische afdelingen binnen het ziekenhuis waren volledig gesloten. Na hun punt te hebben gemaakt, en na veel onderhandelen, gaven ziekenhuisdirecteuren toe en betaalden een losgeld van $ 17 duizend.
Hoewel dit incident veel krantenkoppen heeft gestolen, is het maar één enkele gebeurtenis in een groeiende trend. Gedurende die maand werden ziekenhuizen van Henderson, Kentucky tot Neuss, Duitsland getroffen met soortgelijke aanvallen. Dit patroon van aanvallen bleef de rest van het jaar bestaan. In het laatste kwartaal van 2016 rapporteerde het Keck Medical Center van USC ransomware-aanvallen in twee van hun ziekenhuizen en op zes afzonderlijke locaties van het New Jersey Spine Center.
Naar schatting was 88 procent van de ransomware-aanvallen in het tweede kwartaal van 2016 gericht op zorgorganisaties. De dreiging is zo verontrustend dat Jocelyn Samuels, directeur van het HHS Office for Civil Rights, zei:
"Een van de grootste bedreigingen voor de privacy van gezondheidsinformatie is het ernstige compromis tussen de integriteit en de beschikbaarheid van gegevens veroorzaakt door kwaadaardige cyberaanvallen op elektronische gezondheidsinformatiesystemen, zoals via ransomware."Gelukkig is de resulterende schade bij de meeste van deze ransomware-aanvallen beperkt tot slechts tijdelijke downtime en een aangetast publiek imago. Helaas zijn er grotere zorgen waar de gezondheidsindustrie zich zorgen over moet maken.
De DarkOverLord Hacker
In de zomer van 2016 werd de persoonlijke gezondheidsinformatie van meer dan 655.000 mensen gecompromitteerd in een trio van aanvallen door een hacker die opereert onder de naam "The DarkOverLord", een voormalige ransomware-expert die er nu voor heeft gekozen de hoge inzet na te streven spel van het stelen van beschermde gezondheidsinformatierecords of PHI. De hacker heeft toegang gekregen tot alle drie de bedrijven via een SaaS-leverancier waarop zij zich hebben geabonneerd. De grootste van de drie aanvallen werd geheven tegen een grote medische kliniek in Atlanta, GA, wat resulteerde in de inbeslagname van 397.000 patiëntendossiers, inclusief primaire en secundaire ziektekostenverzekeringen en polisnummers. Een tweede inbreuk resulteerde in de verwerving van 210.000 records met sofi-nummers. Deze inbreuken werden ontdekt toen The DarkOverLord contact opnam met alle drie de organisaties om hen te waarschuwen voor de inbreuken, met screenshots van gegevensmonsters die op een site met de naam RealDealMarket waren geplaatst. Deze gewetenloze site bevindt zich op het dark web en is een gemeenschappelijk portaal dat door cybercriminelen wordt gebruikt om alles te verkopen, kopen en uitwisselen, inclusief gestolen creditcards, patiëntendossiers en zelfs medicijnen. De DarkOverLord bedreigde alle drie de organisaties met de bedoeling om de gestolen gegevens aan de hoogste bieder te verkopen, tenzij ze elk $ 1 per gestolen record betaalden. Er was op dit moment geen formele update of de bedrijven de afpersingskosten hebben betaald.
Aanvallen op zorgbedrijven groeien
Deze aanvallen zijn slechts een kleine weergave van de vele inbreuken die zich de afgelopen jaren hebben voorgedaan in de gezondheidszorg. In feite zei 80 procent van de door KPMG onderzochte leidinggevenden in de branche dat hun informatietechnologie in 2015 was gecompromitteerd. Als een voorbeeld van het toenemende aantal gerichte aanvallen, schat de toonaangevende onderzoeksorganisatie Ponemon Institute dat criminele aanvallen op informatiesystemen in de gezondheidszorg met 125 procent zijn gestegen tussen 2010 en 2015. In feite vonden vijf van de acht grootste inbreuken op de gezondheidszorg sinds 2010 alleen al in 2015 plaats, waarbij meer dan 100 miljoen patiëntgezondheidsdossiers waren betrokken. Op bedrijfstakbrede basis zijn de kosten van deze aanvallen zelfs $ 6,2 miljard per jaar.
Een studie uitgevoerd door de IBM X-Force is een voorbeeld van deze verontrustende trend in hun bevindingen door de volgende vergelijking:
Geen bugs, geen stress - Uw stapsgewijze handleiding voor het creëren van levensveranderende software zonder uw leven te vernietigen
U kunt uw programmeervaardigheden niet verbeteren als niemand om softwarekwaliteit geeft.
De top vijf industrieën in 2015 voor cyberaanvallen:
- Gezondheidszorg
- Productie
- Financiële diensten
- Regering
- vervoer
De top vijf industrieën in 2014 voor cyberaanvallen:
- Financiële diensten
- Informatie / communicatie
- Productie
- Kleinhandel
- Energie / nutsbedrijven
En alsof dit allemaal niet genoeg was, blijkt uit een onderzoek van de Association of Corporate Counsel dat 97 procent van de bedrijfsgezondheidsadvocaten gelooft dat hun organisaties een groter risico lopen op cyberaanvallen dan andere industrieën. Enkele van de andere bevindingen uit de enquête omvatten:
- 70 procent van de ondervraagden werkt aan de ontwikkeling van expertise op het gebied van gegevensbeveiliging om aan die behoefte te voldoen.
- 84 procent zegt dat er een beroep op hen is gedaan om te evalueren of een beveiligingsincident rapportageverplichtingen met zich meebrengt. Aan de meeste van hen is vervolgens gevraagd om relevante interne beleidsmaatregelen en procedures te ontwikkelen.
- Een derde zei dat de plannen van hun organisaties verouderd waren voor het omgaan met de nieuwste soorten cyberdreigingen of organisatorische veranderingen.
- 40 procent meldde dat hun organisaties of klanten plannen hebben die te algemeen zijn en specifieke begeleiding en testen missen.
De redenen waarom de gezondheidszorg wordt gericht
Het zal geen verrassing zijn dat hackers het lucratieve potentieel van de gezondheidszorg zijn gaan realiseren. Persoonlijke informatie heeft een hoge dollarwaarde op de zwarte markt. In een ander rapport van het InfoSec Institute haalden Medicare ID-nummers een veel hogere prijs op de zwarte markt en dark web dan de sociale zekerheid in 2015. Een enorm nadeel van elektronische medische dossiers is dat medische gegevens, in tegenstelling tot creditcards, niet eenvoudigweg geannuleerd en opnieuw uitgegeven. Dit kan verklaren waarom de patiëntendossiers tot tien keer meer verzamelen dan creditcardnummers.
Bovendien eisen ziekenhuizen en procedureklinieken gegevensbeschikbaarheid en netwerk uptime van 100 procent. Helaas missen veel zorgorganisaties ervaren personeel op het gebied van cybersecurity. Nog uitdagender is dat het typische zorgkantoor zoveel soorten onbeheerde computerapparatuur gebruikt.
Hoewel leidinggevenden in de branche, juridisch adviseurs, zelfs het Amerikaanse Congres en andere regeringen nu de ernst van het probleem erkennen, is er veel werk nodig om het exponentiële aantal van deze aanvallen te bestrijden. Hopelijk blijkt 2017 een beter jaar te zijn voor IT-beveiliging.