サイバーセキュリティ研究者は、安全に保管されていないためにオープン Web 上に発見可能な状態で放置されている何百万もの医療ファイルと関連する個人データを発見しました。
4,500 万件を超える医療画像 – X 線、MRI、CT スキャンと付随データを含む これらの画像内の人物を特定できる可能性のある情報は、安全でないサーバーやストレージ上でオンラインに公開されます。 デバイス。
世界中の病院や医療センターから漏洩した医療データが暴露されていることが判明した。 サイバーセキュリティ会社 CybelAngel 医療機器のセキュリティに関する 6 か月にわたる調査の結果、部外者が機密の医療データに簡単にアクセスできることが判明しました。
プライバシー
- インターネットの検索結果から自分自身を削除し、オンラインで自分の身元を隠す方法
- プライバシーに最適なブラウザ
- サムスンのスマートフォン「修復モード」により、技術者が写真を閲覧できなくなる
- 生理管理アプリは安全ですか?
機密の医療情報にアクセスしたサイバー犯罪者は、その情報をインターネット上で販売することで悪用する可能性があります。 ダークウェブ、特定可能な個人を脅迫する、あるいは公開されたサーバーを手段として使用する可能性さえある の ランサムウェアの配信 病院ネットワークへ。
見る： ネットワークセキュリティポリシー(テックリパブリックプレミアム)
多くの医療機器はサイバー攻撃やデータ漏洩に対して脆弱です なぜなら、テクノロジーは多くの場合、 時代遅れであり、医療 IT とセキュリティの予算は限界に達している.
研究者らは、医療におけるデジタル イメージングとコミュニケーションに関する 4,500 万件を超える固有のケースを明らかにすることができました。 (DICOM) ファイルは、ハッキング ツールやパスワードを必要とせずにアクセスできますが、単に公開されたままになっています。 ウェブ
「4,500万のファイルが保護されていないサーバー上にあります。 私たちが発見したのは、これらのデータはすべて誰にでも公開されていたということです」とCybelAngelのシニアサイバーセキュリティアナリストであるDavid Sygula氏はZDNetに語った。
研究者によって特定されたいくつかのケースでは、安全でないネットワーク接続ストレージ (NAS) が、機密ファイルにアクセスできる可能性がある原因でした。 FTP または SMB プロトコルの使用とパッチが適用されていないセキュリティ上の欠陥により、外部の者がマシンやその中に保存されているデータにアクセスできる可能性があります。
他のケースでは、サーバーとストレージが他のネットワーク デバイスに接続されていて、 ファイルの印刷などの機能上のニーズはありましたが、その設定方法により、それらはバックドアになっていました。 ネットワーク。
「NAS があり、プリンターを共有する必要があるとします。これにより、プリンターなどへのゲスト アクセスが作成されます。 プリンターが NAS にアクセスするとドアが開いたままになるため、セキュリティが崩壊します。」 Sygula と説明した。
CybelAngel は悪意のあるスクリプトを特定しました。 含む 暗号通貨マイナー、調査した多くのサーバー上で、セキュリティで保護されていないデバイスを最初に特定してアクセスしたのは研究者ではなかったことを示唆しています。
X 線やスキャンなどの機密の医療情報を覗き見することは十分に侵入的ですが、これにアクセスした悪意のあるハッカーも可能性があります。 画像に保存されたメタデータを介して患者を識別します。メタデータには、医師の名前、医療センター、撮影された体の部位、患者の名前、または日付も含まれる場合があります。 誕生。 これらの情報はすべて、詐欺やその他の悪意のある目的に悪用される可能性があります。
「もしこれらの文書がサイバー犯罪者によってアクセスされていたとしたら、それらはダークウェブ上で販売された可能性があります」とSygula氏は説明した。
見る： 雷は二度落ちる: 一度ハッキングされると、おそらく 1 年以内に再び攻撃されるでしょう
研究者らは、データを漏洩している世界中のサーバーを特定しましたが、そこには何百ものサーバーがあるため、データを漏洩させることは不可能でした。 すべての医療機関に連絡して知らせるよう求めています。これが、この研究に関するすべての統計が公開された理由です。 匿名で。 しかし、すべての医療提供者は、これをネットワークとストレージのセキュリティを確認するための警告として捉える必要があります。
「これは憂慮すべき発見であり、医療専門家による機密医療データの共有および保存方法を保護するには、より厳格なセキュリティプロセスを導入する必要があることを証明しています。 漏洩が重大なデータ侵害にならないようにするには、セキュリティとアクセシビリティのバランスが不可欠です」と Sygula 氏は述べています。
データの漏洩を避けるために、ネットワークを適切にセグメント化し、X 線などの重要な診断機器を使用することをお勧めします。 マシンとサポート システムは、より広範なビジネス ネットワークや公共ネットワークに接続されていないため、外部から直接アクセスすることはできません。 外。
サイバーセキュリティの詳細
- サイバーセキュリティ: ネットワークをハッカーから守るために次の 10 のことを実行してください
- 最も機密性の高いデータがオンラインで公開される可能性があります。 これらの人々はそれを見つけようとします CNET
- WannaCry を忘れないでください: 病院は依然としてサイバー攻撃の危険にさらされています
- エンドポイントの追跡とデバイスのセキュリティの確保は、医療 CIO にとって厄介な問題です TechRepublic
- 個人識別情報 (PII): それが何であるか、どのように使用され、どのように保護するか