美國醫(yī)院姐妹健康系統(tǒng)（HSHS）近日通知了超過88.2萬名患者，稱2023年8月的一次網(wǎng)絡(luò)攻擊導(dǎo)致了數(shù)據(jù)泄露，暴露了他們的個(gè)人和健康信息。

HSHS成立于1875年，擁有超過2200名醫(yī)生和約1.2萬名員工。該機(jī)構(gòu)在伊利諾伊州和威斯康星州運(yùn)營著一個(gè)由15家地方醫(yī)院組成的網(wǎng)絡(luò)，其中包括兩家兒童醫(yī)院。

這家非營利性醫(yī)療系統(tǒng)在發(fā)送給受影響患者的數(shù)據(jù)泄露通知中表示，事件是在2023年8月27日發(fā)現(xiàn)的，當(dāng)時(shí)發(fā)現(xiàn)攻擊者已經(jīng)侵入了HSHS的網(wǎng)絡(luò)。

攻擊導(dǎo)致系統(tǒng)全面癱瘓

安全漏洞發(fā)生后，HSHS的系統(tǒng)還受到了廣泛中斷的影響，導(dǎo)致伊利諾伊州和威斯康星州的醫(yī)院“幾乎所有操作系統(tǒng)”和電話系統(tǒng)都陷入癱瘓。HSHS還聘請了外部安全專家來調(diào)查此次攻擊，評估其影響，并幫助其IT團(tuán)隊(duì)恢復(fù)受影響的系統(tǒng)。

HSHS在2024年9月的一份聲明中表示：“我們正在優(yōu)先考慮患者安全，同時(shí)建立恢復(fù)流程。在第三方專家的支持下，我們正在盡快且安全地將系統(tǒng)重新上線。像我們這樣規(guī)模的醫(yī)療系統(tǒng)在數(shù)千臺(tái)服務(wù)器上運(yùn)行著數(shù)百個(gè)系統(tǒng)應(yīng)用程序，因此我們的恢復(fù)和調(diào)查工作將需要一些時(shí)間才能完成。”

攻擊者訪問了大量敏感信息

盡管此次事件和由此導(dǎo)致的中斷具有勒索軟件攻擊的所有特征，但目前尚未有勒索軟件組織聲稱對此負(fù)責(zé)。

經(jīng)過取證調(diào)查，HSHS發(fā)現(xiàn)攻擊者在2023年8月16日至8月27日期間訪問了受感染系統(tǒng)上的文件。HSHS表示：“我們一直在審查這些文件，并在審查過程中逐步通知那些信息被發(fā)現(xiàn)的個(gè)人。”

攻擊者在HSHS系統(tǒng)內(nèi)訪問的信息因受影響的個(gè)人而異，包括姓名、地址、出生日期、病歷號、有限的治療信息、健康保險(xiǎn)信息、社會(huì)安全號碼和/或駕駛執(zhí)照號碼等。

患者需警惕潛在風(fēng)險(xiǎn)

HSHS補(bǔ)充說，目前沒有證據(jù)表明受害者的信息已被用于欺詐或身份盜竊，但仍建議受影響的個(gè)人監(jiān)控其賬戶對賬單和信用報(bào)告中的可疑活動(dòng)。該醫(yī)療系統(tǒng)還為受影響的個(gè)人提供了一年的免費(fèi)Equifax信用監(jiān)控服務(wù)。

當(dāng)BleepingComputer早些時(shí)候聯(lián)系HSHS發(fā)言人確認(rèn)數(shù)據(jù)泄露是否由勒索軟件攻擊引起時(shí)，該發(fā)言人并未立即回應(yīng)。

醫(yī)療行業(yè)數(shù)據(jù)泄露事件頻發(fā)

上周，康涅狄格州醫(yī)療服務(wù)提供商社區(qū)健康中心（CHC）向超過100萬名患者發(fā)出數(shù)據(jù)泄露警報(bào)，而全球最大的獨(dú)立血液采集和分發(fā)組織之一紐約血液中心（NYBC）表示，勒索軟件攻擊迫使其重新安排了一些預(yù)約。

本月早些時(shí)候，UnitedHealth透露，去年Change Healthcare的勒索軟件攻擊導(dǎo)致約1.9億美國人的信息被盜，幾乎是10月份披露的1億人的兩倍。

2023年12月下旬，美國衛(wèi)生與公眾服務(wù)部（HHS）提出了HIPAA更新，以應(yīng)對大規(guī)模醫(yī)療安全漏洞激增的情況，確保患者的健康數(shù)據(jù)安全。