Hackare söker sig till sjukhus

Cyberkriminella riktar sig allt mer mot sjukhusens datornätverk – ett nyligen meddelat stöld involverade data från 4,5 miljoner människor som hade fått behandling av Community Health Systems (CHS) , ett företag som driver mer än 200 sjukhus. Malwareattacker ökar i många branscher, men forskare från säkerhetsföretaget Websense säger att takten med vilken attackerna mot sjukhus har ökat under det senaste året är oöverträffad.

Datasäkerheten är ofta slapp inom vårdinrättningar, och hackare riktar sig mot system som lagrar mängder av värdefull personlig information som finns i elektroniska journaler, enligt Websense-forskarna, som säger att de har observerat en 600-procentig ökning av attacker mot sjukhus över de senaste 10 månaderna.

Carl Leonard, senior chef för säkerhetsforskning för Websense, säger att den så kallade Heartbleed-sårbarheten användes i några av sjukhusattackerna. Felet, vars existens först avslöjades för allmänheten i april (två år efter att det först dök upp), är ett fel i en mycket använd krypteringsmjukvara som heter OpenSSL. Brottslingar kan utnyttja felet och lura sårbara datorer att avslöja information som finns lagrad i deras minne. Webbsäkerhetsföretaget TrustedSec, citerar källor nära utredningen, rapporterar att hackarna som riktade in sig på CHS fick tillgång till nätverket via Heartbleed-sårbarheten.

Programvaruleverantörer släppte patchar direkt efter att Heartbleed avslöjades, men nyare forskning antyder att hundratusentals system sannolikt fortfarande är sårbara. Även om det finns många andra sätt som upphovsmän till skadlig programvara kan infiltrera nätverk och stjäla känslig information, är det enorma antalet system som är mottagliga för denna sårbarhet unikt, säger Websenses Leonard.

Det som förvärrar problemet är att datasäkerhet inte har varit en högsta prioritet för många hälso- och sjukvårdsorganisationer. Hälso- och sjukvårdsindustrin spenderar väldigt lite på IT jämfört med andra branscher, säger John Halamka , chief information officer och dekan för teknologi för Harvard Medical School. Var tror du att du kommer att hitta sårbarheterna? han säger.

Medan individuella stulna kreditkortsnummer och personnummer nu är relativt lite på underjordiska marknader för identitetsstöld, kan viss personligt identifierbar information som kan hämtas från hälsojournaler vara värda hundratals dollar för oförsäkrade personer som vill utge sig för att vara någon annan för att få medicinsk vård de hade inte råd annars, säger Halamka.

Federala myndigheter och säkerhetsföretaget Mandiant berättade U.S. Securities and Exchange Commission att CHS datastölden utfördes av en sofistikerad grupp från Kina. Även om den gruppen vanligtvis har varit ute efter immateriella rättigheter som hänför sig till medicinsk utrustning och utrustning, stal den denna gång, enligt SEC-anmälan, icke-medicinsk patientidentifikationsdata och ingen kreditkortsinformation, medicinsk eller klinisk information. Ändå är det inte känt vad hackarna letade efter.

Dölj