警报：黑客盯上医疗生意，怎么破？_风闻

来源：每日经济新闻

卡巴斯基全球研究和分析团队亚太区总监Vitaly

Kamluk在接受《每日经济新闻》记者采访时表示，医疗机构并没有为网络安全环境的变化做好准备，他们更渴望投资新设备，而不是投资保护旧设备。“很多的医疗设备价格很好、质量很好，能够保证运行十年以上，但是同时意味着软件更新也很慢。”

随着5G和物联网技术的发展，越来越多的医疗设备开始联网，为医疗工作带来许多便利。以远程手术为例，不管这个医生是近在咫尺还是远在天涯，通过设备进行远程操控就能完成手术，这有助于提高医院医生工作效率，打破时空限制，让优质医疗资源共享或下沉，让偏远地区的患者也能享受到高水平的医疗服务。

不过，在9月5日～7日举办的卡巴斯基亚太地区网络安全周末活动上，卡巴斯基全球研究和分析团队俄罗斯地区总监Yury Namestnikov开始提到医疗设备联网所带来的网络风险，“据我们研究统计，在过去六个月的时间里，医疗保健行业就占据了近期数据泄漏事件的30%。”

卡巴斯基全球研究和分析团队俄罗斯地区总监Yury Namestnikov

健康医疗机构频繁遭到黑客攻击

随着联网的医疗设备越来越多，医疗机构频遭黑客攻击在国际上并不是一个新鲜的事情，比如华盛顿大学医学院泄露事件、圣何塞医疗集团泄漏事件、小红门癌症服务中心泄露事件等。医院数据丰富，但相关的IT基础设施保护却很缺乏，这是导致医疗机构频繁遭受攻击的重要原因。是什么原因导致健康医疗机构的安全防护有漏洞？

卡巴斯基全球研究和分析团队亚太区总监Vitaly Kamluk在接受《每日经济新闻》记者采访时表示，医疗机构并没有为网络安全环境的变化做好准备，他们更渴望投资新设备，而不是投资保护旧设备。“很多的医疗设备价格很好、质量很好，能够保证运行十年以上，但是同时意味着软件更新也很慢。”

因此，很多利益驱动的网络攻击者就盯上了充满安全漏洞的健康医疗机构。“对于有动力的网络罪犯子来说，医疗基础设施是一种非常好的攻击目标。事实上，这种‘基础设施’是一种不寻常的过时设备与未修补漏洞的被遗忘机器的结合。”Vitaly Kamluk这样认为。

而医疗信息的价格也让黑客们倍感心动。此前网络安全公司Carbon Black针对被盗、泄露和造假医疗数据在暗网上做了调查，调查结果显示，一份包含保险文件、医疗文凭、医生执照和DEA许可证的医疗信息在暗网上售价约500美元；上述提到的小红门癌症服务中心泄露事件中，印第安纳州小红门癌症服务中心被黑客组织TDO勒索绑架，要求支付50比特币赎金。

以上网络攻击多发生在北美地区，近期以来，黑客对健康医疗机构的攻击开始蔓延到东南亚，比如2018年新加坡遭受了史上最严重的网络攻击，近150万人的医保资料遭到泄露。另外据卡巴斯基相关人员透露，2018年10月～12月期间以及2019年2月～5月期间，其曾监控到网络间谍组织APT10针对马来西亚医疗和健康设施的发起的网络攻击。

在发生的多起健康医疗泄密事件中，最终受到勒索的也不仅仅是健康医疗机构，还包括普通患者。

Vitaly Kamluk介绍道，人们会对他们可能患有的疾病或健康状况感到羞耻，所以敲诈者就看中了这个机会，“我知道你的一切，除非你付钱，否则我会在网上公布你的信息，或者把信息发给你的亲戚朋友。”

“预防胜于治疗”

反观国内，暴露在公众视野下的医疗数据信息泄露事件较少，但并不代表可以高枕无忧。

不久前，中国信息通信研究院安全研究所联合腾讯安全发布了一份《2019健康医疗行业网络安全观测报告》，观测样本涉及国内健康医疗行业共15339家相关单位。

在本次观测中，发现存在“僵木蠕”等恶意程序的单位共计1029家，其中受勒索病毒影响的单位共计136家；另外，有6446家单位的应用服务（如数据库服务、FTP服务、打印机服务等）端口暴露在公共互联网，其中375家单位的应用服务使用了极简易密码，攻击者可通过公共互联网轻易获取这些服务的控制权。

国内外健康医疗行业网络安全保护的缺失导致相关市场规模高速增长。据Global Market Insights的调查，2018年医疗保健网络安全市场规模为82亿美元，预计今年到2025年的复合年增长率为19.1%。

除了卡巴斯基等国际网络安全厂商以外，国内企业也纷纷试水，比如阿里云推出的企业预防勒索解决方案，腾讯推出的腾讯云枢应用级智能网关等。

在技术上，卡巴斯基相关专家表示，建议医疗保健公司考虑采用超越反病毒的安全解决方案，最好是围绕机器学习核心（目标攻击分析器）构建的解决方案。

不过在网络安全行业有一个共识：Prevention is better than cure（预防胜于治疗）。Frost＆Sullivan网络安全行业负责人Kenny Yeo表示：“随着亚太地区越来越多的医疗机构越来越多地向数字化转型，建立牢固的安全和合规基础已成为关键。它不再是一个选择，它需要被强制执行。”

Vitaly Kamluk认为，这需要改变机构组织对网络安全的态度，提高网络安全在企业发展中的优先等级；另外，也需要降低人为因素在安全事件的影响，比如对员工和患者进行安全培训等。