עדכון שבועי 12.01.2023

מידע של יותר מ-42 מיליון מטופלים אמריקאים נחשף במתקפות סייבר בין 2016-2021; ה-CISA תתעדף הגנה על מוסדות בריאות והשכלה

על פי מחקר של פורום הבריאות של Jama, ארגונים במגזר הבריאות ניצבים בפני איום הולך וגובר של מתקפות כופרה, שנועדו לשבש את מתן הטיפול הרפואי באופן שעלול לעלות בחיי אדם, והסתמכותם ההולכת וגוברת של ארגוני בריאות על אמצעים טכנולוגיים חושפת אותם לעוד ועוד סיכוני סייבר. המחקר, במסגרתו התבצע מעקב אחר 374 מתקפות כופרה על שירותי בריאות בארצות הברית, חשף כי בין השנים 2016 ל-2021 עלה מספר המתקפות ביותר מפי שניים, ומידע של עשרות מיליוני מטופלים הודלף לגורמים שאינם מורשים. זאת ועוד, רק כ-20% מארגוני הבריאות שנתקפו הצליחו לשחזר את נתוניהם מגיבויים. המחקר העלה גם שכמעט מחצית ממתקפות הכופרה שיבשבו את אספקת שירותי הבריאות במוסדות המותקפים וגרמו לביטולי תורים ולהסטת אמבולנסים למרכזים רפואיים חלופיים. עוד נצפתה מגמת עלייה במספר מתקפות הכופרה על ארגונים גדולים, וניכר כי המתקפות הופכות מתוחכמות יותר ויותר. מרבית המתקפות שתועדו פגעו במרפאות, ואחריהן ברשימת הקורבנות מצויים בתי חולים, מרכזים כירורגיים ואמבולטוריים, מרפאות לבריאות הנפש, ומרפאות לטיפולי שיניים ולטיפולים דחופים.

על פי נתוני מכון CyberPeace, מתקפות סייבר על בתי חולים מביאות למניעת טיפול רפואי במשך 19 ימים בממוצע. עוד תיעד המכון 272 מתקפות סייבר נגד מגזר הבריאות בארצות הברית החל מאמצע 2020, ממוצע של 2.3 מתקפות בשבוע, כאשר מיוני 2020 ועד ספטמבר 2020 בלבד נתקפו 37 בתי חולים, 22 מרפאות, 21 מתקנים לבריאות הנפש, 2 שירותי אמבולנסים, 8 מעבדות ומרכזי אבחון, 14 יצרני תרופות ועוד. בתוך כך, הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) אמרה כי ב-2023 תתעדף הגנה על גופים שאין להם די משאבים להגנה עצמית במרחב הסייבר, בהם בתי חולים ובתי ספר. במקביל, ה-CISA חתמה על מזכר לשיתוף פעולה עם אוקראינה נגד התקפות רוסיות על תשתיותיהם הקריטיות של האוקראינים, הנמשכות מזה כמעט עשור. לדברי מנהלת ה-CISA ג׳ן איסטרלי, ניתן ללמוד מהאוקראינים רבות בנושא ההגנה על תשתיות.

טקסס: תביעה ייצוגית נגד המרכז הרפואי OakBend בעקבות דלף מידע שהתרחש במהלך מתקפת כופרה 
ב-1 בספטמבר המרכז הרפואי, הפועל באזור יוסטון ומציע שירותי אשפוז, רפואה דחופה ועוד, נפל קורבן למתקפת כופר ודלף נתונים. בתביעה הייצוגית, שהוגשה על ידי תושבי ארצות הברית שמידע אישי שלהם דלף במסגרת האירוע, נטען כי חלו במוסד "נוהלי אבטחה שאינם הולמים", אשר אפשרו את המתקפה. לדברי התביעה, התוקפים השיגו גישה למידע מרשת המוסד, פעלו להצפנתו, ודרשו כופר בתמורה לשחרורו. לדברי התובעים, למרות שעל המרכז הרפואי חלות חובות המעוגנות בחוזים, בתקנים ובחוקים בנושאי שמירת פרטיות המידע והגנה מפני גישה לא מורשית למידע אישי של מטופלים, בפועל לא היה פיקוח ראוי על מערכות המרכז, ועל אף שהסיכון להתרחשות דלף מידע היה ידוע, לא ננקטו הצעדים הנדרשים לאבטחת המידע האישי. אחת מטענות התביעה היא שהמוסד הפגין אי-ציות להנחיות נציבות הסחר הפדרלית (FTC) בנוגע לאבטחת סייבר בארגונים, לתקני אבטחה בתעשייה ולרגולציה הלאומית בתחום הבריאות (HIPPA). על פי דיווח בתקשורת, מאחורי המתקפה עמדה קבוצת התקיפה Daixin, המתמקדת בארגונים במגזר הבריאות, ואשר מפניה הזהירו לאחרונה לשכת החקירות הפדרלית (FBI), הסוכנות האמריקאית להגנת סייבר ותשתיות (CISA) ומחלקת הבריאות ושירותי האנוש של ארצות הברית (HHS) (ראו ״הסייבר״, 24.11.22). לדברי Daixin, במהלך האירוע נגנבו יותר ממיליון רשומות של חולים, הכוללות שמות, תאריכי לידה, מספרי זהות ותוכניות טיפול, חלקן כבר פורסמו לציבור.

מיזורי: בית החולים Fitzgibbon מודיע שמידע רפואי דלף במתקפת כופרה שאירעה ביוני

לדברי בית החולים, מיד עם זיהויה של גישה בלתי מורשית לרשת שלו ב-6 ביוני, הוא פתח בהליך חקירה יסודי, תוך התייעצות עם מומחי אבטחת סייבר. לדברי המוסד הרפואי, ב-1 בדצמבר התגלה כי ישנה אפשרות שהושגה גישה לא מורשית גם למידע אישי של מטופלים, לרבות שמות מלאים, מספרי זהות ורישיונות נהיגה, מספרי חשבונות בנק, מידע אודות ביטוחים רפואיים ומידע רפואי אישי. בתוך כך, בית החולים ציין כי לא מדובר במידע אודות כל מטופליו, וכי לא ידוע לו על שימוש לא נאות שנעשה במידע שהודלף. הודאה מאוחרת זו מגיעה לאחר שכבר בחודש יוני דווח בתקשורת על מתקפת סייבר שחווה הארגון, לאחר שדובר מטעם קבוצת התקיפה Daixin פנה ישירות אל בית החולים ולקח אחריות על המתקפה, בטוענו כי הקבוצה פגעה במערכות הארגון ושמה את ידע על מידע בנפח של 40GB. עוד דווח בזמנו כי חלק מהמידע פורסם בפורום של הקבוצה ברשת האפלה.

רומניה: מתקפת כופרה על בית החולים Sfântul Gheorghe 

במסגרת המתקפה שחווה בית החולים Sfântul Gheorghe שבעיר בוטושאן, התוקפים דורשים 3 מטבעות ביטקוין (כ-50,000 יורו) עבור מסירת מפתחות ההצפנה לשחרור שרתי המוסד ולשחזור נתוני חודש דצמבר, שהוצפנו. הצפנת הנתונים מונעת מבית החולים לדווח על השירותים שניתנו במהלך החודש הקודם ולקבל עבורם תשלום. המתקפה, שהתבססה על כופרת PHOBOS, התאפיינה בהצפנת קבצים ובהתחברות התוקפים למערכות בית החולים באמצעות RDP, כאשר בשעה זו מסתמן כי חדירת התוקפים למערכות ה-IT של בית החולים התבצעה על ידי חיבור מרחוק לאחת משתי חברות התחזוקה המספקות לו שירות. מנהל בית החולים קטלין דסקלסקו מסר כי פעילות המוסד נמשכת כעת בעצימות נמוכה, תוך תקווה שתשוב לסידרה בקרוב, וכי האירוע נמצא בחקירה. על מנת למנוע מתקפות דומות, מומחי מרכז ה-CYBERINT הלאומי של רומניה וה-CERT-RO, צוות החירום הרומני לטיפול באירועי מחשב, ממליצים לארגונים על יישום מדיניות ואמצעי אבטחה כגון שימוש באנטי-וירוס עדכני, השבתת שירותי RDP בכל התחנות והשרתים ברשת, עדכון כל מערכות ההפעלה והיישומים בהם נעשה שימוש, שינוי תכוף של סיסמאות המשתמשים, הכנת עותקי גיבוי של נתונים קריטיים ועוד. התקפה זו דומה למתקפה שאירעה בקיץ 2019 על ארבעה בתי חולים אחרים ברומניה, בהם בית החולים העירוני שבדורוחוי. במערכותיהם של כל ארבעת הארגונים לא היתה מותקנת תוכנת אנטי-וירוס.

פנסילבניה: שירותי הבריאות לאם ולמשפחה (MFHS) מדווחים כי איתרו גישה בלתי מורשית לרשת ודליפה של מידע רפואי 

שירותי ה-MFHS מסופקים ל-17 מחוזות במדינת פנסילבניה. לדברי הארגון, ב-4 באפריל התגלה כי הוא נתון במתקפת כופרה, ש״ייתכן והובילה לחשיפת מידע רגיש לאדם לא מורשה, בשוגג״. בעקבות כך, הארגון פנה למומחים חיצוניים ולמשפטנים על מנת לבחון את היקף הפעילות האמורה ולזהות אילו נתונים נפגעו. עוד נמסר כי הגישה הבלתי מורשית התרחשה בין אוגוסט 2021 לאפריל 2022, וכי בשעה זו נראה שהמידע שנחשף כולל שמות, כתובות, תאריכי לידה, מספרי ביטוח לאומי, מספרי רישיונות נהיגה, פרטי חשבונות בנק ופרטי כרטיסי אשראי, וכן מידע רפואי ומידע אודות ביטוחי בריאות של מטופלים. לדברי ה-MFHS, הארגון מבין את הקושי שנגרם למטופלים עקב האירוע, אך יחד עם זאת לא ידוע לו על ביצוע הונאה על בסיס המידע שנחשף או על שימוש לרעה בו. 

אוסטרליה: גל מתקפות מסוג Gootkit פקד את מגזר הבריאות

Gootkit (או Gootloader) משתמשת בטקטיקה של שיבוש SEO, המשבשת פעולות אופטימיזציה של מנועי חיפוש לצורך גישה ראשונית למערכות הקורבנות, כל זאת על ידי ניצול לרעה של תשתיות לגיטימיות ופיזור מילות מפתח נפוצות במנועי חיפוש ובאתרים שונים. לאחר התקנתה, הנוזקה מסוגלת לגנוב נתונים מהדפדפן, לבצע מתקפות מסוג (Adversary in the Browser (AitB, לצלם צילומי מסך ועוד. כעת, מדוח חדש של חברת Trend Micro עולה שמילות המפתח "בית חולים", "בריאות", "רפואה" ו"הסכם ארגוני" הוצמדו במנועי חיפוש לשמות ערים שונות באוסטרליה, מה שמסמן את התרחבות הנוזקה, שעד כה התמקדה במשרדי רואי חשבון ועורכי דין. תחילת המתקפה בהפניית משתמשים המחפשים את מילות המפתח האמורות לבלוג WordPress נגוע, שם הם מפותים להוריד קובצי ZIP עם נוזקות, כאשר לדברי החוקרים באתר מוצג למשתמשים מסך שנראה כמו פורום לגיטימי. יתרה מכך, קוד ה-JavaScript המשמש לביצוע התחבולה מוזרק לקובץ JavaScript חוקי בקטעים אקראיים באתר הפרוץ. לדברי Trend Micro, הקמפיין האמור פעיל והופך אגרסיבי יותר כלפי מגזרים ואזורים גיאוגרפיים ספציפיים.