打開手機(jī)掃描二維碼
即可在手機(jī)端查看
2024年，美國醫(yī)療行業(yè)成為網(wǎng)絡(luò)攻擊重災(zāi)區(qū)，全年共報(bào)告720起醫(yī)療數(shù)據(jù)泄露事件，約1.86億條用戶記錄受影響。涉及醫(yī)療服務(wù)提供者、業(yè)務(wù)伙伴和健康計(jì)劃機(jī)構(gòu)，泄露信息種類繁多。其中，ChangeHealthcare遭受勒索軟件攻擊最為嚴(yán)重，約1億人信息被盜。
從影響范圍來看，受影響人數(shù)眾多，雖實(shí)際人數(shù)可能略低，但波及范圍廣泛。醫(yī)療服務(wù)供應(yīng)商、業(yè)務(wù)合作商和健康計(jì)劃機(jī)構(gòu)均有大量事件發(fā)生。
攻擊方式主要為黑客/IT事件，近600起以勒索軟件攻擊為主；還有未經(jīng)授權(quán)的訪問或披露，約400起涉及網(wǎng)絡(luò)服務(wù)器，160起涉及電子郵件，通過釣魚和惡意軟件傳播。
當(dāng)下醫(yī)療行業(yè)存在諸多安全隱患，醫(yī)療業(yè)務(wù)伙伴與健康計(jì)劃機(jī)構(gòu)防御薄弱，成為易被攻擊的風(fēng)險(xiǎn)點(diǎn)；不少醫(yī)療機(jī)構(gòu)仍在使用WindowsXP這類缺乏安全更新的過時(shí)系統(tǒng)，為黑客創(chuàng)造了入侵條件；醫(yī)療機(jī)構(gòu)與第三方供應(yīng)商數(shù)據(jù)共享監(jiān)管缺失，供應(yīng)鏈透明度不足，攻擊者能夠借此滲透核心系統(tǒng)。
01. 事件概述 2024年，美國醫(yī)療行業(yè)成為網(wǎng)絡(luò)攻擊的重災(zāi)區(qū)，全年共報(bào)告了720起醫(yī)療數(shù)據(jù)泄露事件，影響約1.86億條用戶記錄。這些事件主要涉及醫(yī)療服務(wù)提供者、醫(yī)療業(yè)務(wù)伙伴和健康計(jì)劃機(jī)構(gòu)，泄露的信息包括姓名、聯(lián)系方式、出生日期、社會(huì)安全號(hào)碼、保險(xiǎn)信息、醫(yī)療記錄甚至財(cái)務(wù)信息。 其中，最嚴(yán)重的事件是ChangeHealthcare遭受的勒索軟件攻擊，導(dǎo)致約1億人的信息被盜。其他受影響的大型機(jī)構(gòu)包括KaiserPermanente（1340萬）、AscensionHealth（550萬）和HealthEquity（430萬）等。 黑客/IT事件：近600起，以勒索軟件攻擊為主。 未經(jīng)授權(quán)的訪問或披露：約400起事件涉及網(wǎng)絡(luò)服務(wù)器，160起涉及電子郵件，攻擊者常利用電子郵件進(jìn)行釣魚攻擊和惡意軟件傳播。 02. 影響范圍 受影響人數(shù)：約1.86億條用戶記錄被泄露，實(shí)際受影響人數(shù)可能略低，因部分用戶可能在多起事件中重復(fù)泄露。 受影響機(jī)構(gòu)類型： 醫(yī)療服務(wù)供應(yīng)商：520起事件。 醫(yī)療業(yè)務(wù)合作商：120起事件。 健康計(jì)劃機(jī)構(gòu)：近100起事件。 地域分布：得克薩斯州和加利福尼亞州的事件數(shù)量最多，各有約60起，其次是紐約、伊利諾伊州和佛羅里達(dá)州。 03. 公安部一所深圳服務(wù)中心觀點(diǎn) 加大對(duì)第三方風(fēng)險(xiǎn)管理的投入，建立嚴(yán)格準(zhǔn)入與定期審查制度，借助第三方風(fēng)險(xiǎn)評(píng)估工具實(shí)時(shí)監(jiān)控，與專業(yè)網(wǎng)絡(luò)安全公司合作開展供應(yīng)鏈安全審計(jì)；加速老舊系統(tǒng)升級(jí)，制定 IT 系統(tǒng)升級(jí)計(jì)劃，淘汰過時(shí)系統(tǒng)，采用現(xiàn)代化操作系統(tǒng)，加大網(wǎng)絡(luò)安全軟硬件投入，通過政府補(bǔ)貼等助力中小型醫(yī)療機(jī)構(gòu)升級(jí)，鼓勵(lì)采用云計(jì)算和虛擬化技術(shù)；提升供應(yīng)鏈透明度，建立透明數(shù)據(jù)共享機(jī)制，利用區(qū)塊鏈技術(shù)實(shí)現(xiàn)數(shù)據(jù)可追溯和不可篡改，推動(dòng)行業(yè)標(biāo)準(zhǔn)制定，要求供應(yīng)商提供安全合規(guī)報(bào)告，建立應(yīng)急響應(yīng)機(jī)制；加強(qiáng)人員培訓(xùn)，定期開展網(wǎng)絡(luò)安全培訓(xùn)，引入模擬攻擊演練和競賽，建立內(nèi)部舉報(bào)機(jī)制；推動(dòng)政策支持與行業(yè)協(xié)作，呼吁政府加大政策支持和資金投入，建立醫(yī)療行業(yè)網(wǎng)絡(luò)安全聯(lián)盟，鼓勵(lì)醫(yī)療機(jī)構(gòu)與相關(guān)企業(yè)、機(jī)構(gòu)合作開發(fā)安全解決方案。 1. 加大投入，強(qiáng)化第三方風(fēng)險(xiǎn)管理 建議措施：醫(yī)療機(jī)構(gòu)應(yīng)加大對(duì)第三方合作伙伴的網(wǎng)絡(luò)安全評(píng)估和監(jiān)管投入，建立嚴(yán)格的準(zhǔn)入機(jī)制和定期審查制度。通過引入第三方風(fēng)險(xiǎn)評(píng)估工具和平臺(tái)，實(shí)時(shí)監(jiān)控合作伙伴的安全狀況，確保其符合行業(yè)標(biāo)準(zhǔn)和法規(guī)要求。 實(shí)施路徑：與專業(yè)網(wǎng)絡(luò)安全公司合作，開展供應(yīng)鏈安全審計(jì)，明確數(shù)據(jù)共享邊界和責(zé)任劃分，確保第三方合作伙伴的安全防護(hù)能力與核心系統(tǒng)相匹配。 2. 加速老舊系統(tǒng)升級(jí)，構(gòu)建現(xiàn)代化IT基礎(chǔ)設(shè)施 建議措施：醫(yī)療機(jī)構(gòu)應(yīng)制定明確的IT系統(tǒng)升級(jí)計(jì)劃，逐步淘汰Windows XP等過時(shí)系統(tǒng)，采用支持持續(xù)安全更新的現(xiàn)代化操作系統(tǒng)。同時(shí)，加大對(duì)網(wǎng)絡(luò)安全硬件和軟件的投入，部署實(shí)時(shí)威脅檢測系統(tǒng)、端點(diǎn)保護(hù)代理和高級(jí)防火墻等防護(hù)措施。 實(shí)施路徑：通過政府補(bǔ)貼或?qū)ｍ?xiàng)基金支持，幫助中小型醫(yī)療機(jī)構(gòu)完成系統(tǒng)升級(jí)。鼓勵(lì)醫(yī)療機(jī)構(gòu)采用云計(jì)算和虛擬化技術(shù)，提升系統(tǒng)的靈活性和安全性。 3. 提升供應(yīng)鏈透明度，建立全鏈條安全監(jiān)管機(jī)制 建議措施：醫(yī)療機(jī)構(gòu)應(yīng)與第三方供應(yīng)商建立透明的數(shù)據(jù)共享機(jī)制，明確數(shù)據(jù)流向和使用權(quán)限。通過區(qū)塊鏈等技術(shù)手段，實(shí)現(xiàn)數(shù)據(jù)共享的可追溯性和不可篡改性，確保供應(yīng)鏈各環(huán)節(jié)的安全可控。 實(shí)施路徑：推動(dòng)行業(yè)標(biāo)準(zhǔn)的制定和實(shí)施，要求供應(yīng)商提供詳細(xì)的安全合規(guī)報(bào)告。建立供應(yīng)鏈安全事件應(yīng)急響應(yīng)機(jī)制，確保在發(fā)生安全事件時(shí)能夠快速定位問題并采取補(bǔ)救措施。 4. 加強(qiáng)人員培訓(xùn)與意識(shí)提升 建議措施：定期開展網(wǎng)絡(luò)安全培訓(xùn)，提高醫(yī)療機(jī)構(gòu)員工和第三方合作伙伴的安全意識(shí)，特別是針對(duì)釣魚攻擊、勒索軟件等常見威脅的識(shí)別和應(yīng)對(duì)能力。 實(shí)施路徑：引入模擬攻擊演練和網(wǎng)絡(luò)安全競賽，增強(qiáng)實(shí)戰(zhàn)能力。建立內(nèi)部舉報(bào)機(jī)制，鼓勵(lì)員工發(fā)現(xiàn)并報(bào)告潛在的安全隱患。 5. 推動(dòng)政策支持與行業(yè)協(xié)作 建議措施：呼吁政府加大對(duì)醫(yī)療行業(yè)網(wǎng)絡(luò)安全的政策支持和資金投入，推動(dòng)行業(yè)內(nèi)的信息共享和協(xié)作。建立醫(yī)療行業(yè)網(wǎng)絡(luò)安全聯(lián)盟，共同應(yīng)對(duì)跨機(jī)構(gòu)、跨區(qū)域的安全威脅。 實(shí)施路徑：明確醫(yī)療機(jī)構(gòu)的網(wǎng)絡(luò)安全責(zé)任，對(duì)未能履行安全義務(wù)的機(jī)構(gòu)進(jìn)行處罰。鼓勵(lì)醫(yī)療機(jī)構(gòu)與網(wǎng)絡(luò)安全企業(yè)、研究機(jī)構(gòu)合作，開發(fā)針對(duì)性的安全解決方案。 建立應(yīng)急響應(yīng)計(jì)劃：制定并演練數(shù)據(jù)泄露應(yīng)急響應(yīng)計(jì)劃，確保在事件發(fā)生時(shí)能夠快速反應(yīng)，減少損失。 04. 重大泄露事件 1. BayMark數(shù)據(jù)泄露事件 事件概述：北美最大的藥物濫用治療和康復(fù)服務(wù)提供商BayMarkHealthServices在2024年9月遭遇勒索軟件攻擊，導(dǎo)致患者數(shù)據(jù)泄露。攻擊者在2024年9月24日至10月14日期間訪問了BayMark的系統(tǒng)，竊取了包含患者姓名、社會(huì)安全號(hào)碼、駕照號(hào)碼、出生日期、保險(xiǎn)信息、治療記錄等敏感信息的文件。 影響范圍：泄露數(shù)據(jù)量達(dá)1.5TB，具體受影響人數(shù)未公布，但BayMark每天為超過7.5萬名患者提供服務(wù)，覆蓋美國35個(gè)州和加拿大3個(gè)省的400多個(gè)服務(wù)點(diǎn)。 應(yīng)對(duì)措施：BayMark為可能泄露社會(huì)安全號(hào)碼或駕照號(hào)碼的患者提供為期一年的免費(fèi)Equifax身份監(jiān)控服務(wù)。 攻擊者：勒索軟件團(tuán)伙RansomHub聲稱對(duì)此次攻擊負(fù)責(zé)，并威脅公開竊取的數(shù)據(jù)。 2. Medusind數(shù)據(jù)泄露事件 事件概述：醫(yī)療賬單公司Medusind在2023年12月發(fā)現(xiàn)數(shù)據(jù)泄露，影響了超過36萬人的個(gè)人健康信息。泄露的信息包括姓名、出生日期、電子郵件、地址、電話號(hào)碼、健康保險(xiǎn)信息、支付信息、社會(huì)安全號(hào)碼等。 影響范圍：泄露事件影響了360,934人，主要為Medusind服務(wù)的醫(yī)療機(jī)構(gòu)客戶。 應(yīng)對(duì)措施：Medusind提供了兩年的免費(fèi)身份監(jiān)控服務(wù)，包括信用監(jiān)測和身份盜竊恢復(fù)。Medusind在發(fā)現(xiàn)泄露后花費(fèi)了一年多時(shí)間才完成調(diào)查并通知受影響者，導(dǎo)致網(wǎng)絡(luò)犯罪分子有充足時(shí)間濫用泄露信息。 3. ExcelsiorOrthopaedics數(shù)據(jù)泄露事件 事件概述：2024年6月23日，紐約骨科醫(yī)療服務(wù)提供商ExcelsiorOrthopaedics遭遇數(shù)據(jù)泄露，影響了約35.7萬名患者和員工。泄露的信息包括個(gè)人身份信息、醫(yī)療記錄和財(cái)務(wù)數(shù)據(jù)。 影響范圍：泄露事件波及全美多個(gè)州，包括緬因州和得克薩斯州。 應(yīng)對(duì)措施：ExcelsiorOrthopaedics采取了多項(xiàng)措施，包括斷開外部網(wǎng)絡(luò)訪問、更改系統(tǒng)憑證、聘請(qǐng)第三方網(wǎng)絡(luò)安全公司進(jìn)行調(diào)查，并為受影響者提供12個(gè)月的免費(fèi)信用監(jiān)控和身份盜竊恢復(fù)服務(wù)。 4. ChangeHealthcare勒索軟件攻擊事件 事件概述：2024年2月，美國聯(lián)合健康集團(tuán)旗下的醫(yī)療保健服務(wù)商ChangeHealthcare遭遇勒索軟件攻擊，導(dǎo)致超過1億人的個(gè)人信息和醫(yī)療數(shù)據(jù)被盜。這是近年來最大規(guī)模的醫(yī)療數(shù)據(jù)泄露事件。 影響范圍：泄露的信息包括健康保險(xiǎn)信息、醫(yī)療記錄、賬單和支付信息、社會(huì)安全號(hào)碼等。 攻擊者：BlackCat勒索軟件團(tuán)伙（又名ALPHV）聲稱對(duì)此次攻擊負(fù)責(zé)，竊取了6TB數(shù)據(jù)并加密了系統(tǒng)。聯(lián)合健康集團(tuán)支付了2200萬美元贖金，但攻擊者內(nèi)部出現(xiàn)內(nèi)訌，部分?jǐn)?shù)據(jù)被泄露。 應(yīng)對(duì)措施：ChangeHealthcare向受影響者發(fā)出通知，并提供信用監(jiān)控服務(wù)。
特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時(shí)并不代表贊成其觀點(diǎn)或證實(shí)其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請(qǐng)聯(lián)系我們刪除。
凡來源注明智慧醫(yī)療網(wǎng)的內(nèi)容為智慧醫(yī)療網(wǎng)原創(chuàng)，轉(zhuǎn)載需獲授權(quán)。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號(hào)：滬ICP備17004559號(hào)-5
