Im Jahr hat sich eine schreckliche Szene im ganzen Land gezeigt: Ärzte und Pflegekräfte Oktober 2020, die sich um Patienten kümmern, konnten nicht auf Krankenakten, Röntgenbilder oder CT-Scans zugreifen. Krankenhäuser in Kalifornien, Oregon und Vermont gehörten zu den vielen, die den Zugang zu ihren kritischen Systemen verloren haben – und sagten, dass sie den Zugang Tage und Wochen später immer noch nicht vollständig wiederhergestellt hatten.
Der Täter: eine Reihe von Ransomware-Angriffen, die die Cybersecurity and Infrastructure Security Agency der Regierung dazu veranlassten, vor „einer unmittelbar bevorstehenden und erhöhten Cyberkriminalitätsgefahr für US-Krankenhäuser und Gesundheitsdienstleister“ zu warnen .
Während die Angriffe einen Schock verursachten, hätte die Tatsache, dass sie stattgefunden haben, niemanden überraschen dürfen. Hacker haben seit langem gezielte Gesundheitseinrichtungen, da sie sich bekanntermaßen auf oft anfällige veraltete IT-Systeme verlassen. Tatsächlich stieg die Anzahl der Datenschutzverletzungen in US-Gesundheitseinrichtungen laut einem HIPAA Journal-Bericht stark von 2010 auf 2019, wobei ein Anstieg von 197 % zwischen 2018 und 2019 allein zu verzeichnen war. Alles in allem bemerkte der Bericht, dass 12,6 % aller privaten Gesundheitsdaten der Amerikaner im vergangenen Jahr verletzt worden sein könnten.
Der Angriff im September ist bemerkenswert, da Hacker das Gesundheitswesen heute als ein noch weicheres Ziel sehen als vor einem Jahr. Das liegt an der anhaltenden Pandemie. Gesundheitszentren wurden von Patienten überlastet, die eine Behandlung für COVID-19–related Symptome suchten, und konzentrierten sich mehr darauf als auf die IT-Vorbereitung. Auch aufgrund der sozialen Distanzierung greifen mehr Menschen denn je aus der Ferne auf das Gesundheitswesen zu. Telehealth-Besuche bei Ärzten stiegen laut dem Department of Health and Human Services (HHS) zwischen März und Juni 2020 um das 350-Fache . Da so viele Personen personenbezogene Daten online und über Apps weitergeben, haben Hacker eine viel größere Angriffsfläche.“
Da Telehealth relativ neu ist, entdecken wir immer noch neue Arten von Betrug und die Ausnutzung von Sicherheitslücken“, sagt Michael Levin, Vice President of Enterprise Information Security bei Optum, dem Gesundheitsinformationstechnologie- und Dienstleistungsunternehmen, das Teil der UnitedHealth Group ist. „Wir haben die Probleme identifiziert, aber sie wurden nicht alle behoben.“
Hacker schwärmen die Verwundeten
Die ersten Wochen der Pandemie in den USA führten die Nation in Panik, da Gesundheitseinrichtungen Schwierigkeiten hatten, auf die sich schnell entwickelnde Krise zu reagieren. Für CISOs und Cybersicherheitsexperten war dies eine intensive Phase des Chaos und der Verwirrung. Im März schloss HHS nicht-COVID-bezogene Besuche in Gesundheitseinrichtungen in allen 50 US-Bundesstaaten aus. Infolgedessen gingen die Konsultationen zwischen Patienten und Ärzten virtuell über Videoanwendungen wie Zoom und FaceTime, da HHS die HIPAA- Beschränkungen für verfügbare Telemedizinkanäle lockerte.
„CISOs waren abgelenkt, sodass sie nicht an Sicherheitsproblemen arbeiten konnten, auf die sie sich normalerweise konzentrieren würden.“Drex DeFord, ehemaliger CIO bei Steward Health Care und Scripps Health
Der Preis der Zweckmäßigkeit war ein Ausschlag neuer Sicherheitsschwächen. Hacker zielten auf telemedizinische Sitzungen ab, die über Zoom durchgeführt wurden, besagt eine Studie des Forschungsarms des Softwaresicherheitsherstellers Check Point. (Zoom hat seitdem seine Verschlüsselungsprotokolle verbessert.)
„Es gab viel Verzweiflung“, sagt Drex DeFord, ehemaliger CIO bei Steward Health Care und Scripps Health, zwei der größten Gesundheitsnetzwerke in den USA, und Gründer des IT-Beratungsunternehmens für das Gesundheitswesen Drexio. „Wenn Ärzte Zoom oder FaceTime verwenden, was ist die Richtlinie? Haben wir ein Protokoll? Währenddessen waren die CISOs abgelenkt und versuchten beispielsweise, Drive-through-Testzentren einzurichten, sodass sie nicht an Sicherheitsproblemen arbeiten konnten, auf die sie sich normalerweise konzentrieren würden.“
Die Hacker verschwendeten keine Zeit mit dem Starten von Malware-Angriffen. Von März bis April gab es einen Anstieg der IP-Reputationssicherheitswarnungen um 117 %, ein Anzeichen für erhöhten Datenverkehr von skizzierten Websites und einen Anstieg der Endpunktsicherheitsvorfälle um 56 %, was bedeutet, dass mehr Hacking- und Malware-Angriffe ihre Ziele erreichten, besagt eine September 2020 gemeinsame Studie des Sicherheitsbewertungsunternehmens SecurityScorecard und des Dark-Web-Forschungsoutfits Dark Owl. Der Bericht stellte fest, dass die erhöhte digitale Präsenz von Telemedizinanbietern die Angriffsfläche erhöht hatte.
Telehealth wird phishyisch
Die enorme Verwirrung und Unsicherheit der frühen Wochen der Pandemie machte Ärzte und Patienten auch zu einfachen Zielen für Phishing-Angriffe. Hacker sendeten Patienten raffinierte E-Mails mit gefälschten Links zu versprochenen „COVID-Impfstoffen“ und Behandlungen.
„Die Phishing-E-Mails waren brillant“, sagt DeFord. „Ein Arzt könnte sagen: „Klicken Sie hier für die heutige COVID-Infektionsrate in Ihrer Region.“ Natürlich wollen Ärzte die neuesten Informationen, damit sie mit einem schlechten Klick angesaugt werden.“
Das Ziel des Hackers ist es, die Benutzernamen und Passwörter des Opfers für Gesundheitsportale zu kratzen, in denen wertvolle Daten gespeichert sind. Diese Datensätze können im Dark Web für bis zu 1 000 USD verkauft werden. Elektronische Krankenakten können dann von Kriminellen für Bilk-Versicherungsunternehmen aus Zehntausenden von Dollar mit betrügerischen Ansprüchen verwendet werden. Das macht sie weitaus wertvoller als gestohlene Kreditkartennummern (die für 100 USD gehen) und die nur bis zu ihren Kreditlimits gut sind.
Aber das Phishing-Spiel wird gefährlich, sobald Hacker das Netzwerk einer Gesundheitsorganisation verletzen, wie sie es bei den Angriffen im Oktober getan haben. Dort können sie Monate lang unerkannt bleiben (von median 54 Tagen bis zu 700 Tagen).
Während dieser Zeit können Cyberkriminelle Daten plündern, Malware installieren, Netzwerkadministratorrechte entführen und letztendlich einen Ransomware-Angriff starten, wie derjenige, der UHS lahmgelegt hat. Da das Leben ihrer Patienten auf dem Spiel steht, sind die Chancen gut, dass eine Einrichtung ein heftiges Lösegeld übergibt. Tatsächlich haben seit 2016 insgesamt 172 Ransomware-Angriffe US-Gesundheitsorganisationen mehr als 157 Millionen US-Dollar gekostet, so eine Februar 2020 Studie von Comparitech, einem verbraucherorientierten Tech-Services-Forschungsstandort.
Best Practices für Telemedizin – und darüber hinaus
Die Gesundheitsbranche hat sich aus den frühen Pandemiemonaten stärker entwickelt. Über das gesamte Board hinweg hat es bessere Verschlüsselungs- und Sicherheitsprotokolle installiert. „Es gab schlechte Praktiken außerhalb des Gates“, sagt Levin, Optum VP of Enterprise Information Security. „Seitdem ist jeder gereift.“
Zum Beispiel haben die frühen Telemedizinbesuche über Zoom den Weg gegeben, HIPAA-konforme Videokonferenzkanäle zu sichern, die entweder intern von Gesundheitssystemen und Krankenhäusern entwickelt oder von Drittanbietern für Cloud-Sicherheit lizenziert wurden. Das Schlüsselelement der HIPAA-Richtlinien ist der Datenschutz für Gesundheitsinformationen von Patienten. Während dieses Zeitraums versuchten CISOs, proprietäre Telehealth-Plattformen zu entwickeln, um Verschlüsselungs- und Multifaktor-Authentifizierungsprotokolle gemäß HIPAA-Standards einzubauen und zu verifizieren.
Levin bietet diesen Rat auch CIOs und CTOs in der Gesundheitsbranche an, um die Gerätesicherheit und den Datenschutz zu gewährleisten:
Verwalten Sie Ihre Endpunkte: Konzentrieren Sie sich auf die Aushärtung von Endpunkten und die Verwaltung administrativer Zugriffsrechte. Endpoint Detection and Response (EDR) Software ermöglicht es Ihnen, versuchte Verletzungen Ihrer Geräte durch unbekannte Akteure zu erkennen. Levin empfiehlt auch die Verwendung von Whitelisting-Software, die Anwendungen autorisiert, bevor sie auf Ihren Geräten ausgeführt werden können.
Informieren Sie Ihre Belegschaft: Ausgefeilte Phishing-Angriffe sowie „Spoofing“-Angriffe versuchen, vertrauensvolle oder abgelenkte Mitarbeiter auszunutzen, um sichere Netzwerke zu durchdringen. Laut einer Verizon-Studie sind Mitarbeiterfehler für bis zu 42 % der Gesundheitsverstöße verantwortlich. Onboarding-Schulungen und laufende Weiterbildung und Entwicklung sollten diese Risiken hervorheben, aber Levin merkt an: „Sie können sich nicht zu 100 Prozent aus dem Risiko ausbilden.“
Automatisieren Sie Sicherheitsworkflows: Für überlastete IT-Netzwerkadministratoren ist KI der beste Cybersecurity-Verbündete. Fortschritte beim unbeaufsichtigten maschinellen Lernen bedeuten, dass KI Netzwerke kontinuierlich auf Anomalien bei Zugriffsversuchen überwachen und verdächtige Aktivitäten in Echtzeit kennzeichnen kann.
Zero-Trust 7.12.: Das Zero-Trust-Betriebsmodell geht davon aus, dass jeder Akteur innerhalb eines Sicherheitsperimeters jederzeit authentifiziert werden muss. Es erfordert einen mühsamen Aufwand, jede Instanz des Netzwerkzugriffs von jedem Gerät aus zu identifizieren und zu überwachen und alle ihre Verbindungspunkte zuzuordnen. Dennoch ist dies der beste Ansatz, um die Sicherheit für ein komplexes Gesundheitsnetzwerk zu verbessern, sagt Levin.
Wenn die Pandemie uns etwas gezeigt hat, ist es, dass sich das Gesundheitswesen, einschließlich Telemedizin, immer mit einer gewissen Netzwerkunsicherheit auseinandersetzen wird. Aber der radikale Stresstest, der durch COVID-19 may verursacht wurde, hat tatsächlich dazu beigetragen, dies zu verbessern.
„Die Dinge sind tatsächlich viel sicherer als vor sechs Monaten“, bemerkt Levin. „COVID ist jetzt etwas, mit dem wir leben. Wir verstehen, dass Telemedizin schon lange verfügbar sein wird. Das hat uns wirklich dazu gedrängt, bessere Praktiken zu übernehmen.“
Abbildung von Dan Bejar
