Mặc dù số vụ việc an ninh mạng trong lĩnh vực y tế tăng nhanh, nhiều tổ chức vẫn chưa áp dụng biện pháp nghiêm túc chống tội phạm mạng. Điều này xảy ra dù kẻ tấn công nhắm không chỉ vào tài sản tài chính, mà quan trọng hơn là mạng sống con người.
Hãy xem tình hình an ninh thông tin của cơ sở y tế và những gì chờ đón chúng ta.
Ngày nay hacker cực quan tâm ngành y tế. Đại dịch đã kéo nhiều kẻ lừa đảo vào lĩnh vực này đến mức khó lòng nghi ngờ họ biết tất cả về chúng ta.
Rất tiếc, trong một số trường hợp, có thương vong nghiêm trọng. Vài tháng trước, tấn công ransomware vào cơ sở y tế đã dẫn đến cái chết của một bệnh nhân.
Hành động của tội phạm gây thiệt hại tài chính khổng lồ cho tổ chức y tế. Năm 2016, Protenus ước tính thiệt hại tài chính do vi phạm an ninh thông tin của cơ sở y tế Mỹ ở mức 6,2 tỷ USD. Cybersecurity Ventures dự đoán ngành y tế sẽ chi hơn 65 tỷ USD cho sản phẩm/dịch vụ an ninh mạng giai đoạn 2017-2021, và năm 2019 lĩnh vực này bị tấn công mạng 2-3 lần nhiều hơn ngành khác. Gần năm, dữ liệu sự cố trong phân khúc này tăng theo cấp số nhân.
Theo Bộ Y tế & Dịch vụ Nhân sinh Mỹ, năm 2019 có 510 vụ vi phạm dữ liệu y tế, tăng 196% so với 2018. Theo Kaspersky Lab, mỗi 5 thiết bị có 1 thiết bị bị tấn công trong tổ chức y tế toàn cầu năm 2019. Kaspersky dự đoán con số này sẽ tiếp tục tăng, chủ yếu do nhiễm ransomware.
Tại Sao Hacker Tấn Công Bệnh Viện?
Điều gì thúc đẩy tội phạm mạng vào ngành y tế? Thứ nhất, dễ dàng thực hiện tấn công. Cơ sở y tế thường dùng hệ thống CNTT lỗi thời, hiếm khi cập nhật phần mềm. Do đó, các giải pháp này chứa hàng trăm lỗ hổng nguy hiểm cho phép truy cập ngay cả hacker không cao tay, chỉ tham gia hoạt động mã độc nhỏ trước đây. Chi phí thực hiện tấn công cực thấp, cộng với dữ liệu bệnh nhân hấp dẫn, yếu tố này trở nên quyết định.
Bên cạnh đó, tổ chức y tế thường thiếu nhân sự an ninh mạng có kinh nghiệm. Vi phạm dữ liệu thường chỉ được phát hiện khi cơ sở dữ liệu bị bán trên chợ đen hoặc công khai.
Theo khảo sát Black Book, năm 2019, chỉ 21% bệnh viện báo cáo có chuyên viên an ninh chuyên trách, và chỉ 6% có CISO (Chief Information Security Officer).
Thiếu chuyên gia CNTT giỏi không cho phép cơ sở y tế xử lý khủng hoảng đột ngột (ví dụ: virus mã hóa toàn bộ dữ liệu, kẻ lừa đảo đòi tiền chuộc). Trong tình huống đó, bệnh viện thích trả tiền hacker, khôi phục truy cập, tránh dư luận. Họ không nhận ra rằng việc đó tạo động lực hơn cho kẻ tấn công.
Giá trị dữ liệu y tế cũng tăng. Theo nghiên cứu Kaspersky Lab, giá thông tin y tế trên darknet cao hơn thông tin thẻ ngân hàng. Cybersecurity Ventures ước tính một hồ sơ bệnh nhân bị đánh cắp có giá lên đến 60 USD/bản ghi (gấp 10-20 lần thông tin thẻ tín dụng).
Nắm thông tin riêng tư giúp tội phạm lừa đảo bệnh nhân và người thân. Hacker còn có thể thay đổi hồ sơ y tế để khó chẩn đoán bệnh. Họ cũng có thể đe dọa bệnh nhân bằng việc tiết lộ dữ liệu bệnh.
Ngoài ra, tội phạm mạng quan tâm thông tin chi phí điều trị, dùng cho mục đích riêng, ví dụ: đánh giá nguồn tài chính của đối tác và khách hàng phòng khám.
Kẻ Tấn Công Nhắm Vào Gì Nhiều Nhất?
Theo dữ liệu nguồn mở, hầu hết vấn đề an ninh thông tin của tổ chức y tế năm 2019 liên quan đến hệ thống email và tấn công lừa đảo (phishing).
Bên cạnh đó, chuyên gia ghi nhận số lượng lớn tấn công brute-force (thử mật khẩu) sau đó truy cập dịch vụ của tổ chức y tế mở kết nối từ bên ngoài. Vector tấn công này nhằm khai thác giao thức RDP, thường dùng cho truy cập từ xa và rất quan trọng trong đại dịch.
Bản chất phương pháp: kẻ tấn công tìm tài khoản nhân viên bảo vệ yếu, hack nó, truy cập dịch vụ công khai của công ty, xâm nhập períme. Kết quả: không chỉ đánh cắp dữ liệu mà còn chạy chương trình độc hại.
Hậu Quả Của Tấn Công Mạng Lên Hệ Thống Y Tế
Tấn công ngành y tế có hậu quả khôn lường. Cụ thể, nghiên cứu của chuyên gia Anh thấy chỉ một tấn công của virus ransomware WannaCry, nhắm vào lỗ hổng Windows, đã khiến bệnh viện Anh thiệt hại gần 100 triệu bảng Anh và gây gián đoạn đáng kể chăm sóc bệnh nhân, bao gồm hủy gần 19.000 cuộc hẹn và phẫu thuật dự định tại ít nhất 1/3 cơ sở NHS và 8% bác sĩ gia đình.
Chuyên gia Black Book tính thiệt hại tài chính ước tính từ vi phạm dữ liệu tại bệnh viện Mỹ năm 2019 trung bình 423 USD/bản ghi. Họ cũng khảo sát 58 giám đốc marketing tổ chức y tế lớn. Kết quả: 18 tháng qua, họ chi 51-100 nghìn USD khắc phục hậu quả tin tức tiêu cực do rò rỉ dữ liệu và đánh cắp thông tin.
Sự cố tồi tệ nhất do hacker can thiệp vào hoạt động cơ sở y tế liên quan đến cái chết của bệnh nhân. Nhà nghiên cứu Đại học Vanderbilt lấy danh sách vi phạm dữ liệu y tế do Bộ Y tế & Dịch vụ Nhân sinh (HHS) biên soạn, phân tích tỷ lệ tử vong bệnh nhân tại hơn 3.000 bệnh viện. Kết quả: sau sự cố, hàng trăm bệnh viện khảo sát mỗi năm có 36 cái chết thêm trên 10.000 đau tim. Đặc biệt, tại trung tâm y tế có gián đoạn, bệnh nhân nghi ngờ đau tim mất lâu hơn để làm điện tim.
Đại diện bệnh viện Đại học Düsseldorf (Đức) nói họ không thể hỗ trợ bệnh nhân do máy tính bị nhiễm ransomware. Phụ nữ qua đời trên đường đến bệnh viện khác.
Kết Luận
Cơ sở y tế cần hiểu số lượng và độ phức tạp tấn công mạng chỉ sẽ tăng. Càng cố gắng tự giải quyết vấn đề an ninh thông tin mà không công khai sự cố, tình hình càng tệ.
Ngay bây giờ, tấn công cơ sở y tế không chỉ gây thiệt hại hàng triệu đô la mà còn làm mất mạng người. Trong đại dịch, tình hình chỉ càng xấu đi.
Bên cạnh đó, chuyên gia tin rằng trong tương lai gần, số sự cố liên quan đến thiết bị y tế khác nhau bên trong bệnh viện và trung tâm chẩn đoán có truy cập Internet sẽ tăng.
Số hóa dịch vụ y tế đang tăng. Phần mềm và hệ thống thông tin càng được dùng nhiều. Nhu cầu dịch vụ y tế từ xa (telemedicine) cũng tăng. Tất cả yếu tố này mở thêm cơ hội cho hacker, và chắc chắn họ sẽ khai thác.
Nhận thức an ninh sẽ là yếu tố then chốt cho cơ sở y tế trong 5 năm tới. Chính phủ, bệnh viện lớn và phòng khám nhỏ cần hợp lực, thu hút chuyên gia CNTT giỏi, bắt đầu đối thoại giải quyết vấn đề cùng nhau.