Нараства броят на жертвите на кибератаки в болниците

Кибератаките стават все по-смъртоносни, а болниците, които са на първа линия, са подложени на все повече атаки.

Когато през последните три години пандемията Covid-19 обхвана света, киберпрестъпниците се възползваха от хаотичната ситуация и многократно изключваха мрежите на болниците в момент, когато те бяха най-малко способни да реагират. Това означаваше ограничаване на спешните услуги, отмяна на операции и повече смъртни случаи.

Тъй като кибератаките отнемат човешки животи, това променя изчисленията за това как да се реагира на опустошителни хакерски атаки както в обекти на територията на САЩ, така и в международни конфликти като Украйна. Дълго време кибератаките се разглеждаха като по-ниско ниво на война от ракетните удари, но тъй като те поразяват болници и стават все по-смъртоносни, това може да се промени.

Време е „да разглеждаме тези видове атаки, атаките с цел получаване на откуп от болници, като престъпления, свързани със заплаха за живота, а не като финансови престъпления“, казва Джон Риги, национален съветник по киберсигурност и риск в Американската асоциация на болниците. Атаките с рансъмуер – при които хакери криптират мрежи и изискват заплащане, за да ги отключат – са едни от най-честите удари срещу лечебни заведения.

Въпреки че е трудно да се съберат данни за смъртните случаи в болниците, свързани с кибератаки, поради разнообразието от фактори, които допринасят за това, и поради факта, че смъртните случаи могат да настъпят седмици или месеци след прекъсване на грижите, има някои смъртни случаи, които са пряко свързани с кибератака.

Проучване от 2021 г. на Proofpoint и Ponemon Institute, в което са изследвани повече от 600 здравни заведения, установява, че след атака с ransomware смъртността се е увеличила в една четвърт от тях. През 2020 г. атака с рансъмуер принуждава болница в Дюселдорф, Германия, да затвори спешното си отделение, а пациент умира в линейка, докато е пренасочван към друга болница. През 2020 г. жена съди болница в Алабама след смъртта на новороденото си бебе, като твърди, че лекарите не са извършили критични тестове преди раждането поради кибератака срещу болницата, поради което бебето се е родило с пъпна връв около врата. Това е довело до увреждане на мозъка и – няколко месеца по-късно – до смъртта на бебето, твърди тя.

Темпото на тези кибератаки се увеличава.

„За съжаление 2023 г. изглежда ще бъде поредната рекордна година по отношение на обема на атаките срещу здравеопазването и обема на чувствителната информация за пациентите, която е била открадната или компрометирана от тези кибернетични противници, базирани в чужбина“, каза Риги.

Най-непосредствените щети от повечето кибератаки в САЩ все още са върху печалбите на предприятията или данните на хората – които хакерите често крадат. Но правителството има и списък с 16 категории „критична инфраструктура“, включително здравеопазване, при които кибератака може да доведе до сериозни смущения в гражданските услуги.

Администрацията на Байдън не стои безучастна и планира да превърне киберсигурността на болниците в ключов приоритет през тази година. Високопоставен служител на администрацията, на когото е предоставена анонимност, за да даде подробности, заяви, че това може да включва издаване на изпълнителни заповеди, с които да се изискват определени стандарти за киберсигурност в здравеопазването, или подкрепа на законодателните усилия по тази тема.

„Болниците са много насочен сектор … това е нещо, което ни тревожи значително“, каза служителят.

Нитин Натараджан, заместник-директор на Агенцията за киберсигурност и инфраструктурна сигурност, предупреди в интервю, че през следващите няколко години и „с течение на времето“ ще има все по-голяма нужда да се обърне внимание на киберсигурността в болниците.

Дори и без данни, които приписват смъртните случаи на хакерски атаки, е ясно, че атаките срещу болници нарушават грижите на все по-опасни нива. През 2022 г. атака срещу CommonSpirit Health, втората по големина здравна система с нестопанска цел в страната, компрометира личните данни на над 600 000 пациенти, включително електронните медицински досиета, което според твърденията е довело до това, че на едно дете случайно е било дадено пет пъти по-голямо количество от необходимите лекарства. Атака през ноември срещу три болници в Ню Йорк принуди лекарите да преминат към хартиени картони, което забави лечението.

По данни на Института CyberPeace средната кибератака срещу здравна система води до 19 дни, в които пациентите не могат да получат някаква форма на лечение. В един от случаите кибератаката е довела до прекъсване на медицинското обслужване за около четири месеца.

Чарлз Кармакал, главен технологичен директор в компанията за киберсигурност Mandiant Consulting, заяви, че компанията му в момента работи в помощ на няколко болници за възстановяване от кибератаки. Той отбеляза, че „често на организациите могат да им отнемат седмици, за да възстановят ИТ системите си и операциите по предоставяне на медицински грижи да се нормализират“.

Проблемът е глобален. Миналата година атака с цел получаване на откуп срещу ирландската агенция за здравни услуги доведе до смущения в обслужването на пациентите в продължение на месеци, включително до отмяна на посещенията за лечение на рак и майчинство, както и на ваксинациите с ковид-19. А по-рано този месец болница в предградията на Париж беше принудена да прехвърли пациенти с неонатални и интензивни грижи в други заведения, след като телефонните и компютърните ѝ системи бяха криптирани.

И това е динамика, която може да влезе в действие, когато САЩ и техните съюзници се опитват да разберат как да претеглят кибератаките във войната.

Нахлуването на Русия в Украйна породи опасения, че Москва може да предприеме опустошителни кибератаки срещу Украйна, които да се разпространят в съседните държави от НАТО. Това би могло да доведе до задействане на клаузата на член пет на НАТО – според която атака срещу един член ще се счита за атака срещу всички. Досега кибератака никога не е довела до използването на тази клауза, но атака срещу здравно заведение, която би причинила загуба на човешки живот или сериозно човешко страдание, би могла лесно да доведе до прилагането ѝ.

„Ако враждебна държава умишлено срине нашата мрежа или умишлено се насочи към болници, за да причини физическа вреда, тогава мисля, че в този момент ще трябва да се проучат всички възможности и да се предприемат всички ответни мерки, за да се наложат последици на съответната държава“, каза Риги относно възможността кибератака срещу здравни центрове да задейства член пети.

Досега повечето атаки срещу болници са били свързани с киберпрестъпни групи, често базирани в Русия, но не и директно с правителствени хакери. Руската киберпрестъпна група Conti например редовно използва хакерски атаки, за да изнудва болници за пари, според данни на Института за кибермировете. Conti има връзки с руското правителство, но не и официални такива.

Болниците и групите за здравни грижи са наясно, че са лесна мишена в киберпространството. Болницата за болни деца отбеляза, че се е подготвила за кибератака от такъв характер, което е направило реакцията на атаката от миналата седмица по-бърза. На международно равнище Агенцията за киберсигурност на Европейския съюз проведе по-рано тази година учение, което симулира атака срещу здравна система, за да оцени готовността на здравния сектор на ЕС за атаки, подобно на учението, което Агенцията за киберсигурност на Естония проведе тази година.

Натараджан от CISA, който преди това е работил като директор в HHS, наблюдаващ програмите за критична инфраструктура, отбеляза, че когато първоначално е започнал да работи в областта на киберсигурността в болниците преди 15 години, това не е била тема, за която здравният сектор е искал да чуе.

„Чукахме на врати и те се затваряха пред нас“, каза Натараджан. „Мисля, че ако погледнем оттам до мястото, където сме днес, има драстично движение.“

Но все още трябва да се направи много. Групите за здравни грижи и болниците невинаги са в състояние да се справят напълно с киберзаплахите за своите системи и за старите медицински устройства.

Високопоставеният служител на администрацията отдаде вината за това на липсата на мандати за киберсигурност в тази сфера и на цялостния „сектор под напрежение“.