Am Puls der Zeit – Ransomware-Trends im Gesundheitswesen.

In den letzten Jahren hat Ransomware Unternehmen weiterhin überwältigt. Obwohl fast jede Branche einen beispiellosen Zustrom von Bedrohungen erlebt hat, war die Gesundheitsbranche besonders anfällig für Ransomware-Angriffe.

Ransomware-Angriffe auf Gesundheitsorganisationen haben sich im Jahr 2021 fast verdoppelt, wobei 66 % dieser Organisationen im vergangenen Jahr mindestens einen Angriff erlebt haben. Dieser Zustrom hat in der Branche auch zu erheblichen Bedenken hinsichtlich der Offenlegung von Daten geführt.

Im Kern ist Ransomware ein kalkulierter und maßvoller Angriff, der darauf abzielt, maximalen Schaden zu verursachen. Die meisten Ransomware-Angriffe sind nicht zufällig; Bedrohungsakteure kennen in der Regel ihre Ziele, die Arten von Daten, die sie möglicherweise besitzen, und welche Assets verschlüsselt und kompromittiert werden müssen. Auf diese Weise können Angreifer die kritischsten Abschnitte des Netzwerks einer Organisation angreifen und so maximale Störungen verursachen.

Da Gesundheitsorganisationen eine Fülle von sensiblen und wertvollen Daten verwalten, ist es wichtig, dass Organisationsleiter die häufigen Trends der Datenoffenlegung bei einem Ransomware-Angriff verstehen und die Datentypen identifizieren, die für solche Angriffe am anfälligsten sind.

Die Offenlegung von Daten ist zu einem dringenden Anliegen geworden

Im Laufe des letzten Jahres haben sich Ransomware-Angriffe aus folgenden Grundprinzipien entwickelt: Eindringen in ein System, Verschlüsseln von Dateien und Fordern einer Lösegeldzahlung, um sie zu entsperren. Bedrohungsakteure verbringen oft Zeit im System des Opfers, sammeln und exfiltrieren sensible Daten mit dem Plan, die Daten für zusätzliche finanzielle Gewinne offenzulegen.

Die Offenlegung von Ransomware-Daten erfolgt in der Regel in zwei Phasen. Zunächst kompromittieren Angreifer eine Probe der verschlüsselten Daten, um die Bedrohung für die Opfer glaubwürdig zu machen und sie zur Zahlung des Lösegelds zu zwingen. Die zweite Stufe beinhaltet die Offenlegung oder den Verkauf der Daten an andere schlechte Akteure, wodurch die Organisation potenziell anfällig für zukünftige Angriffe wird.

Die Offenlegung von Daten wird zu einem gängigen Trend für Ransomware-Banden, um einen schnellen Zahltag zu verdienen. Dies liegt vor allem daran, dass Unternehmen zunehmend auf Datensicherungen angewiesen sind, um Lösegeldzahlungen zu vermeiden. Backups ermöglichen es den Opfern, die verschlüsselten Dateien wiederherzustellen, bieten jedoch keinen Schutz vor der Offenlegung von Daten. Durch die Offenlegung von Daten können Bedrohungsakteure daher häufig finanzielle Gewinne aus ihren Angriffen ziehen, selbst wenn das Opfer das Lösegeld nicht zahlt. In Fällen, in denen das Opfer zahlt, dient die Datenoffenlegung als Mittel der doppelten Erpressung. Es versteht sich von selbst, dass durchgesickerte Daten schwerwiegende Folgen für Gesundheitsorganisationen haben können, da diese Organisationen kritisch sensible Daten wie medizinische Informationen, persönliche Patientendaten, Finanzdaten und andere vertrauliche Informationen aufzeichnen. Jede Offenlegung kann möglicherweise die Glaubwürdigkeit der Organisation zerstören und ihre Beziehungen zu Patienten, Mitarbeitern, Partnern und Lieferanten gefährden.

Wie können Gesundheitsorganisationen also Schritte unternehmen, um sich vor der wachsenden Bedrohung durch die Offenlegung von Daten durch Ransomware-Angriffe zu schützen? Der erste Schritt besteht darin, die Datentypen zu identifizieren, die am anfälligsten sind.

Die am häufigsten offengelegten Datentypen in der Gesundheitsbranche

Im Rahmen unserer kontinuierlichen Forschung bei Rapid7 haben wir 161 Datenoffenlegungen in separaten Ransomware-Vorfällen in verschiedenen Branchen untersucht, die zwischen April 2020 und Februar 2022 stattfanden. In der Gesundheitsbranche gab es einen klaren Trend zur Offenlegung. Intern Finanzen und Buchhaltung Dateien waren die häufigsten Datentypen im Gesundheitswesen

Offenlegungen, wobei solche Daten in 71 % der Fälle vorkommen. Kunden- und Patientendaten wurden in 66 % der Vorfälle offengelegt, Vertriebs- und Marketingdaten in 19 %.

Nun stellt sich die große Frage, warum diese Datenkategorien häufiger preisgegeben werden als andere. Wir haben festgestellt, dass dies hauptsächlich auf den Wertfaktor zurückzuführen ist. Gesundheitsorganisationen erfassen ein großes Volumen an Finanztransaktionen von Patienten und Versicherern. Sie halten auch ein hohes Volumen von Buchhaltung Daten, da sie oft viel Geld für den Kauf materieller Ressourcen von Anbietern ausgeben.

In ähnlicher Weise haben Kunden- und Patientendaten auch einen hohen „Verkaufswert“ für Bedrohungsakteure, da private Benutzerinformationen Angreifern ermöglichen können, zukünftige Angriffe und längere Angriffsketten zu konzipieren.

Auch in Bezug auf doppelte Erpressung kann die Offenlegung eines Teils solcher sensibler Daten die Opfer oft zwingen, Lösegeldforderungen zu erfüllen.

Stärkung der Widerstandsfähigkeit gegen Ransomware-Bedrohungen

Um die Bedrohungen durch doppelte Erpressung und Datenoffenlegung zu mindern, müssen Unternehmen über Backups hinausgehen. Es ist zwingend erforderlich, dass Gesundheitsorganisationen proaktivere Strategien in ihre Sicherheitsinfrastruktur einführen, einschließlich stärkerer Verschlüsselung und Netzwerksegmentierung.

Die Netzwerksegmentierung unterteilt das Unternehmensnetzwerk in Mikrosegmente, wobei jedes Segment und seine verschiedenen Anwendungen voneinander isoliert sind. Um auf verschiedene Netzwerksegmente und Anwendungen zugreifen zu können, müssen Benutzer ständig ihre Identitäten und Zugriffsrechte validieren – wodurch die seitliche Bewegung eines Bedrohungsakteurs eingeschränkt wird. Außerdem kann die Verwendung stärkerer Verschlüsselungsmethoden und -algorithmen in Datenbanken die Daten möglicherweise hinter längeren und komplexeren Verschlüsselungsschlüsseln verbergen. Diese Strategien helfen Unternehmen, den Schaden einzudämmen, wenn es zu einem Verstoß kommt, und verhindern möglicherweise, dass Angreifer kritische Daten herausfiltern.

Es ist auch offensichtlich, dass einige Arten von Daten mehr Schutz benötigen als andere. Rechenzentren oder Anwendungen, die diese anfälligen Datentypen enthalten, müssen nicht nur mikrosegmentiert, sondern auch mit automatisierten Threat-Intelligence-Lösungen geschützt werden, die potenzielle Bedrohungen in Echtzeit erkennen, melden und beseitigen können.

In einigen Fällen ist die Offenlegung oft eine unvermeidliche Realität. Daher sollten Unternehmen immer eine Reaktionspolitik und -strategie haben, um ihre Maßnahmen in solchen Szenarien effektiv zu steuern. Da Ransomware-Bedrohungen jedes Jahr zunehmen, können diese Praktiken einen großen Beitrag zum Schutz von Gesundheitsorganisationen leisten und die potenziellen Auswirkungen eines Angriffs mindern.