醫療行業為何是網絡安全威脅的首要目標

馮蘭娜

到2025年，全球網絡犯罪金額將達到10.5萬億美元，其利潤將超過國際毒品貿易，超過除美國和中國以外的所有經濟體。特別是網絡犯罪正在對美國的醫療體系產生重大影響。

根據數據顯示，全球各地的網絡犯罪分子每天發送34億封網絡釣魚郵件，而美國醫療機構是主要目標。在2021年的一項醫療保健研究中，61 %的受訪者稱他們支付了贖金，這一比例高于任何其他行業。而且，針對醫療機構的勒索軟件攻擊在短短一年內增加了94 %。

疫情使情況更加惡化，黑客們正在利用壓力大的醫療人員和不受保護的網絡來滲透他們的系統。自疫情開始以來，針對醫療服務提供商的攻擊數量一直在穩步上升，惡意郵件增加了600 %。

由于支付贖金的高傾向性、患者記錄的價值，以及不充分的安全性，醫療機構遭受的攻擊急劇增加。該行業在支付贖金和冒著病人生命危險之間也有一個選擇，而這些都是壞人所利用的。如果醫療服務提供商不能訪問記錄，和監控連接到醫療網絡的數字醫療工具，就無法為患者提供全面服務，因此他們往往會屈服于將患者放在首位的要求。然而，需要注意的是，并不是所有支付贖金的企業都能取回他們的數據。

網絡釣魚攻擊對醫療行業來說異常危險，因為患者數據是當今犯罪分子最有價值的資產之一。受保護的健康信息對網絡犯罪分子來說價值不菲，是暗網上最熱門的商品之一。

此外，有販毒和洗錢經驗的犯罪分子急切地購買醫療記錄，以獲得處方藥，提交虛假的醫療索賠，或竊取信息申領信用卡和騙取貸款。醫療記錄是有價值和永久數據點的豐富資源，而賬戶和信用卡很快就會注銷。

針對醫療行業的網絡攻擊也會產生過高的贖金。例如，自2018年以來，被稱為Ryuk的勒索軟件從美國醫療機構敲詐數百萬美元。此外，根據年度數據泄露成本報告，醫療行業數據泄露的平均價格攀升至1 000萬美元。

每個醫療企業都需要優先考慮安全問題。特別是它是數據泄露最常見的入口點之一，建議企業采用零信任的方法。

醫療保健提供商也有法律義務保護患者及其信息，特別是在發送或接收電子郵件時。因此，電子郵件安全策略和解決方案需要同時解決網絡安全和法律合規問題。

網絡安全領導者應該遵循以下步驟來防止數據泄露：

教育和培訓員工，以降低通過電子郵件和網絡訪問的社會工程攻擊風險；

針對所有潛在漏洞評估企業風險，并利用必要的預算、人員和工具優先執行安全計劃；

開發醫療行業中每個人都能理解的網絡安全路線圖。

美國衛生與公眾服務部公民權利辦公室鼓勵各企業熟悉勒索軟件日益增長的威脅，并提供與在線政府資源的鏈接，以幫助醫療行業保護自己。

衛生系統領導人正在尋求幫助，以擊退黑客。然而，保險公司有時不會賠償損失，也有人抱怨政府或執法部門支持不夠。考慮到這一點，到目前為止，60 %的醫療機構已經提高了價格，以彌補漏洞造成的損失。合規性和法律費用可能會持續數年，這些成本正在蔓延到美國人口身上。

醫療機構改進的最佳方式是承認正在進行的網絡戰爭的嚴重威脅，評估其情況，計劃和實施為該行業量身定制的安全戰略，為員工提供預防網絡攻擊所需的工具和資源。