Kétmillió forintot is érhet egy ember egyetlen egészségügyi adatfájlja a sötét weben

Az egészségügyi központok a zsarolóvírus-támadások legnépszerűbb célpontjai közé tartoznak, és egyre több egészségügyi adat kerül ki szivárogtatások következtében – mondta Bánáti Anna, az Óbudai Egyetem adjunktusa és kutatásvezetője a HUN-REN SZTAKI HunCERTalksjának júliusi meetupján. A szakértő azt mondta: jelenleg az egészségügyi adatok a legdrágábbak a fekete piacon és a dark weben, és az informatikai rendszerek hibáiból, sérülékenységeiből, elavultságából adódik a legtöbb szivárgás ebben a kategóriában.

A legtöbb adatot érintő szivárgás 2011-ben történt, ennek több mint ötmillió érintettje volt, de évről évre látni jelentős méretű, sikeres támadásokat. A trend azt mutatja, hogy a kiszivárgott adatok mennyisége csökken, ahogy telnek az évek, viszont egyre több támadás van, így a két tendencia nagyjából kiegyenlíti egymást.

Az UpGuard 2023-as tanulmánya szerint az egészségügy kibervédelmében a legfőbb kihívások az elöregedett infrastruktúra, az alacsony támadásdetekciós kapacitás és a harmadik felek megfelelősége. Bánáti szerint modernizálni kell az IT-infrastruktúrát, és fejleszteni a kockázatkezeléssel kapcsolatos tudatosságot. Ezen felül a harmadik fél által jelentett kockázatokat is kezelni kell, ezt több tényező tudja befolyásolni, többek között az oktatás.

Az oktatással kapcsolatban pedig azt mondta: azért nehéz kibervédelmet egyetemen tanítani, mert nagyon gyorsan változik a szakma, egyre kevésbé lehet beleférni az alapképzésbe a tanítandó anyaggal, ráadásul az oktatók is nehezen tudják követni a szféra változását és frissen tartani a képzéseket. Lehetséges megoldásnak a mikrotanúsítványokat és a moduláris, gyakorlatorientált képzések bevezetését tartja.

Palicz Tamás, a Semmelweis Egyetem Egészségügyi Menedzserképző Központjának stratégiai igazgatóhelyettese példákat is hozott arra, hogy milyen súlyos problémákat okozhat az, ha sikerül megtámadni kórházi rendszereket. „A kiberbiztonság nemcsak technikai, hanem betegbiztonsági probléma is” – mondta.

Zsarolóvírus-támadásnál például klasszikus eset, amikor az orvosnak a sürgősségi osztályon dolgoznia kellene egy betegen, de a számítógépen zsarolóvírus-kép jön elő. „Ha ilyen megjelenik a képernyőn, akkor baj van” – mondta a szakértő. „Informatikusnak kell szólni, ilyenkor a kórház és a közelben lévő egészségügyi szolgáltatók működését újra kell szervezni.”

„Ilyenkor a hagyományos, papíralapú dolgokra kell visszaállni. Volt idő, amikor azt mondtuk, hogy minden digitális lesz az egészségügyben, de az analóg dolgokat is meg kell tanulni az orvosoknak, mert lesz olyan helyzet, amikor elő kell venni a papírt és a ceruzát, és fel kell írni kézzel, hogy mi történik a beteggel, majd utána kerülhet be a digitális rendszerbe” – mondta a szakértő.

Zsarolóvírus-támadásra felhozta a 2024-es romániai példát, amikor egy olyan medikai rendszert támadtak, amit 79 kórház használt. 21 kórház lett offline, teljesen papíralapú működésre kellett átállniuk. „Nagyjából a román egészségügyi rendszerek 20 százalékát le kellett kapcsolni a hálózatról” – mondta Palicz.

Nem 1-2 óra alatt áll vissza a rendszer egy ilyen vírustámadás után, napok, hetek is eltelhetnek, és úgy kell készülni, hogy nem azonnal lesz száz százalékos a szolgáltatás, amit a támadás miatt le kellett kapcsolni. „A baj megelőzése sokkal fontosabb, mint az utólagos korrigálás” – mondta a szakértő, megjegyezve, hogy nyilvánvalóan a sürgősségi ellátásban jóval nagyobb problémát okoz egy zsarolóvírus, mint a krónikus ellátásban.

Érhet támadás orvosi eszközöket is: az IoMT, vagyis az Orvosi Dolgok Internete (Internet of Medical Things) különösen sérülékeny, egy betegágyhoz jellemzően 10-15 ilyen eszköz tartozik. A nagyobb részük hálózatra van kötve. Inzulinpumpákra, modern szenzorokra, teszten kívül viselhető eszközökre kell itt gondolni.

Palicz példának hozta fel, hogy a Homeland című sorozatban a beültetett pacemakerrel generált egy hekker szívritmuszavart, ez mutatja, hogy a beültetett eszközök még nagyobb kockázatot jelentenek, mert nem lehet őket egyik pillanatról a másikra kivenni a testből. Dick Cheney volt amerikai alelnök esetében például a titkosszolgálatok meg is tiltották, hogy rádiófrekvenciás pacemakert ültessenek be a szervezetébe.

„Azért azt lehet mondani, hogy az utóbbi években a felelősebb gyártók megpróbálnak erre figyelni, és az új eszközök gyártásánál és a tervezésnél is jelen van szempontként” – mondta a szakértő.

Gondot okozhatnak még az egészségügyben a képalkotó berendezéseket érő támadások, talán ez az egyik legismertebb és legkomolyabb sérülékenységgel rendelkező terület, beláthatatlan következményekkel, félrekezelésekkel, klinikai vizsgálatok szabotálásával, választások befolyásolásával járhatnak az ilyen támadások. Izraeli kutatók kifejlesztettek egy rosszindulatú szoftvert, hogy felhívják a figyelmet a diagnosztikai eszközök és hálózatok biztonsági hiányosságaira – mellkasról készült CT-felvételeket manipuláltak, és három tapasztalt radiológust sikerült is átverniük velük.

„Az is fontos, hogy a mai diagnosztikai eszközök olyan részletességgel tudnak adatot kinyerni, hogy már genetikai adatokat is lehet egyszerűen és olcsón beszerezni. De nem mindegy, hogy ez milyen eszközzel történik” – mondta Palicz. Példának felhozta a koronavírus-járvány alatt zajló PCR-tesztelést: több kínai gyártó terméke elkerült az Egyesült Államokba, az amerikai szolgálatok pedig kimutatták, hogy az adatok nem maradnak az országban a készülékeken és szervereken, hanem szivárognak ki Kínába. Ő azt javasolta, hogy megbízható gyártókat válasszunk az ilyen teszteknél, például amerikaiakat vagy, ami még jobb, európaiakat, mert itt jól kontrollálható, hová kerül az adat.

Palicz megmutatta azt is, hogy milyen ára van az egészségügyi adatoknak a dark weben: az általa bemutatott infografika szerint több mint 100 fontot, vagyis 46 ezer forintot adnak egy betegadatért, DNS-mintáért 1500 fontot (majdnem 700 ezer forintot), a genomikai és fenotípusos adatok kombinációja 1000-5000 fontba is kerülhet (akár 2,3 millió forint). Az egyszerű személyes adatokhoz képest ezzel egy-két nagyságrenddel többet adnak az egészségügyi adatokért, ráadásul minél komplexebbek ezek az információk, annál drágábban lesznek.

„Felmerülhet, hogy miért akarják a hekkerek az én adatomat. Adatgyűjtő világban élünk, mindenki összegyűjti, amit talál, és majd egyszer hasznosítani fogja később” – mondta Palicz.

Az egészségügy helyzetéről is beszélt, azt mondta: bár mindenki a saját egészségügyével kapcsolatban a legpesszimistább, itthon turbulens politikai környezet van, 35 év alatt 19 egészségügyi politikai vezető volt, vagyis átlagosan kevesebb, mint két évet kaptak fejenként az elképzeléseik véghezvitelére. Szerinte kiszámíthatóság kellene a környezetben, ami jelenleg nincs meg.