警報：黑客盯上醫療生意，怎麼破？_風聞

來源：每日經濟新聞

卡巴斯基全球研究和分析團隊亞太區總監Vitaly

Kamluk在接受《每日經濟新聞》記者採訪時表示，醫療機構並沒有為網絡安全環境的變化做好準備，他們更渴望投資新設備，而不是投資保護舊設備。“很多的醫療設備價格很好、質量很好，能夠保證運行十年以上，但是同時意味着軟件更新也很慢。”

隨着5G和物聯網技術的發展，越來越多的醫療設備開始聯網，為醫療工作帶來許多便利。以遠程手術為例，不管這個醫生是近在咫尺還是遠在天涯，通過設備進行遠程操控就能完成手術，這有助於提高醫院醫生工作效率，打破時空限制，讓優質醫療資源共享或下沉，讓偏遠地區的患者也能享受到高水平的醫療服務。

不過，在9月5日～7日舉辦的卡巴斯基亞太地區網絡安全週末活動上，卡巴斯基全球研究和分析團隊俄羅斯地區總監Yury Namestnikov開始提到醫療設備聯網所帶來的網絡風險，“據我們研究統計，在過去六個月的時間裏，醫療保健行業就佔據了近期數據泄漏事件的30%。”

卡巴斯基全球研究和分析團隊俄羅斯地區總監Yury Namestnikov

健康醫療機構頻繁遭到黑客攻擊

隨着聯網的醫療設備越來越多，醫療機構頻遭黑客攻擊在國際上並不是一個新鮮的事情，比如華盛頓大學醫學院泄露事件、聖何塞醫療集團泄漏事件、小紅門癌症服務中心泄露事件等。醫院數據豐富，但相關的IT基礎設施保護卻很缺乏，這是導致醫療機構頻繁遭受攻擊的重要原因。是什麼原因導致健康醫療機構的安全防護有漏洞？

卡巴斯基全球研究和分析團隊亞太區總監Vitaly Kamluk在接受《每日經濟新聞》記者採訪時表示，醫療機構並沒有為網絡安全環境的變化做好準備，他們更渴望投資新設備，而不是投資保護舊設備。“很多的醫療設備價格很好、質量很好，能夠保證運行十年以上，但是同時意味着軟件更新也很慢。”

因此，很多利益驅動的網絡攻擊者就盯上了充滿安全漏洞的健康醫療機構。“對於有動力的網絡罪犯子來説，醫療基礎設施是一種非常好的攻擊目標。事實上，這種‘基礎設施’是一種不尋常的過時設備與未修補漏洞的被遺忘機器的結合。”Vitaly Kamluk這樣認為。

而醫療信息的價格也讓黑客們倍感心動。此前網絡安全公司Carbon Black針對被盜、泄露和造假醫療數據在暗網上做了調查，調查結果顯示，一份包含保險文件、醫療文憑、醫生執照和DEA許可證的醫療信息在暗網上售價約500美元；上述提到的小紅門癌症服務中心泄露事件中，印第安納州小紅門癌症服務中心被黑客組織TDO勒索綁架，要求支付50比特幣贖金。

以上網絡攻擊多發生在北美地區，近期以來，黑客對健康醫療機構的攻擊開始蔓延到東南亞，比如2018年新加坡遭受了史上最嚴重的網絡攻擊，近150萬人的醫保資料遭到泄露。另外據卡巴斯基相關人員透露，2018年10月～12月期間以及2019年2月～5月期間，其曾監控到網絡間諜組織APT10針對馬來西亞醫療和健康設施的發起的網絡攻擊。

在發生的多起健康醫療泄密事件中，最終受到勒索的也不僅僅是健康醫療機構，還包括普通患者。

Vitaly Kamluk介紹道，人們會對他們可能患有的疾病或健康狀況感到羞恥，所以敲詐者就看中了這個機會，“我知道你的一切，除非你付錢，否則我會在網上公佈你的信息，或者把信息發給你的親戚朋友。”

“預防勝於治療”

反觀國內，暴露在公眾視野下的醫療數據信息泄露事件較少，但並不代表可以高枕無憂。

不久前，中國信息通信研究院安全研究所聯合騰訊安全發佈了一份《2019健康醫療行業網絡安全觀測報告》，觀測樣本涉及國內健康醫療行業共15339家相關單位。

在本次觀測中，發現存在“僵木蠕”等惡意程序的單位共計1029家，其中受勒索病毒影響的單位共計136家；另外，有6446家單位的應用服務（如數據庫服務、FTP服務、打印機服務等）端口暴露在公共互聯網，其中375家單位的應用服務使用了極簡易密碼，攻擊者可通過公共互聯網輕易獲取這些服務的控制權。

國內外健康醫療行業網絡安全保護的缺失導致相關市場規模高速增長。據Global Market Insights的調查，2018年醫療保健網絡安全市場規模為82億美元，預計今年到2025年的複合年增長率為19.1%。

除了卡巴斯基等國際網絡安全廠商以外，國內企業也紛紛試水，比如阿里雲推出的企業預防勒索解決方案，騰訊推出的騰訊雲樞應用級智能網關等。

在技術上，卡巴斯基相關專家表示，建議醫療保健公司考慮採用超越反病毒的安全解決方案，最好是圍繞機器學習核心（目標攻擊分析器）構建的解決方案。

不過在網絡安全行業有一個共識：Prevention is better than cure（預防勝於治療）。Frost＆Sullivan網絡安全行業負責人Kenny Yeo表示：“隨着亞太地區越來越多的醫療機構越來越多地向數字化轉型，建立牢固的安全和合規基礎已成為關鍵。它不再是一個選擇，它需要被強制執行。”

Vitaly Kamluk認為，這需要改變機構組織對網絡安全的態度，提高網絡安全在企業發展中的優先等級；另外，也需要降低人為因素在安全事件的影響，比如對員工和患者進行安全培訓等。