Ваш сотрудник перешёл по ссылке в фишинговом письме. Что происходит дальше?
Вторник, вторая половина дня. Администратор регистратуры Джессика получает письмо, которое выглядит как сообщение от поставщика вашей системы электронных медицинских карт (EHR). Тема письма гласит: «Требуется действие: Подтвердите свою учетную запись, чтобы избежать прерывания обслуживания.» Все выглядит совершенно нормально: логотип, профессиональное оформление, синяя кнопка с надписью «Подтвердить сейчас». Она нажимает на нее, вводит свое имя пользователя и пароль, и возвращается к регистрации пациентов.
Ничего не выглядит странным. Офис продолжает работать. Никто не паникует.
Но что-то только началось, и это повлияет на работу всей вашей клиники в течение нескольких месяцев.
Первые 15 минут: То, что вы видите, и то, что на самом деле происходит
С вашей стороны в офисе ничего не изменилось. Возможно, Джессика заметила, что страница входа выглядит немного странно, или она этого не замечает. В любом случае, она продолжает свою работу.
С точки зрения злоумышленника, ситуация другая. Страница, на которую попала Джессика, была почти точной копией страницы входа вашего поставщика — но ее контролировал кто-то, кто только что получил ее имя пользователя и пароль, как только она их ввела. В течение нескольких секунд автоматизированная система пытается войти в ее реальный аккаунт, используя эти данные. Если для входа в почту не требуется второй этап подтверждения, злоумышленник получит доступ ещё до того, как она закончит с очередным пациентом.
Получив доступ к её почте, злоумышленник действует незаметно. Он ищет в её почтовом ящике ключевые слова: оплата, счет, банк, банковский перевод, пациент, страховка, данные, VPN, пароль. Он ищет переписку с сотрудниками, отвечающими за выставление счетов, вашим бухгалтером и поставщиками, которым вы регулярно платите. Он не торопится, а внимательно читает письма.
Следующие несколько часов: То, что вы не можете увидеть
Здесь начинаются технические детали — и именно здесь большинство небольших медицинских учреждений вообще ничего не замечают.
Если злоумышленник обнаружит, что логин для электронной почты Джессики также работает в вашей системе управления клиникой, в вашем портале для пациентов или на общих сетевых дисках — из-за того, что люди часто используют одни и те же пароли — он попытается использовать и эти варианты. Это называется подстановкой украденных учётных данных (credential stuffing); этот процесс полностью автоматизирован. В средах, где отсутствует активный мониторинг действий пользователей при входе в систему, такое перемещение между системами может оставаться незамеченным в течение нескольких дней или даже недель.
Одновременно злоумышленник может создать правило переадресации электронной почты в почте Джессики — скрытое правило, которое автоматически пересылает копию каждого полученного ею письма на внешний адрес. Это популярная техника, поскольку она обеспечивает постоянный доступ к вашим сообщениям, даже после изменения ее пароля. Большинство почтовых клиентов не отображают правила перенаправления на главном экране. Чтобы это увидеть, нужно знать, где искать.
Если ваша сеть имеет общий файловый сервер — и большинство медицинских учреждений имеют — злоумышленник в конечном итоге попытается получить к нему доступ. Как только он получит доступ к общему хранилищу, он получит доступ ко всему, что на нем находится: медицинские записи, отсканированные страховые карты, таблицы расчетов, файлы отдела кадров. В некоторых атаках этот этап завершается использованием программы-вымогателя, которая шифрует все файлы, к которым она может получить доступ, и оставляет сообщение с требованием оплаты для их восстановления. В других случаях злоумышленник просто копирует то, что ему нужно, и тихо исчезает, не оставляя никаких очевидных следов, пока не произойдет аудит соответствия требованиям или жалобы пациента спустя несколько месяцев.
Согласно данным, опубликованным офисом гражданских прав Министерства здравоохранения и социальных служб США (HHS), более 70% крупных нарушений безопасности в сфере здравоохранения в 2024 и 2025 годах связаны именно с этим видом кибератаки — это не сложная атака, организованная на государственном уровне, а обычная фишинговая электронная почта, которая случайно попала в почтовый ящик обычного человека в обычный день.
Что говорит HIPAA об этом
Вот то, что может удивить многих руководителей офисов: HIPAA распространяется не только в случае, если вас поймают на совершении чего-либо неправильного. Его требования действуют также в тот момент, когда вы обнаружите, что данные пациентов могли быть получены без разрешения — даже если ничего еще не было опубликовано или использовано.
В соответствии с правилом уведомления о нарушениях HIPAA, ваша клиника обязана уведомить затронутых пациентов, сообщить о нарушении в офис гражданских прав Министерства здравоохранения (HHS), а также — если затронуты более 500 пациентов в штате — уведомить местные СМИ в течение 60 дней после обнаружения нарушения. Расследование для определения того, что именно было получено, когда и кем? Это должно произойти в первую очередь, и оно должно быть тщательно задокументировано.
В 2023 году медицинский центр Top of the World Ranch Treatment Center в штате Иллинойс сообщил о случае фишинговой атаки, в результате которой были скомпрометированы менее 2000 записей пациентов — относительно небольшое количество. OCR провела расследование и обнаружила, что учреждение никогда не проводило обязательный анализ рисков безопасности. Это привело к финансовым штрафам, помимо затрат на ликвидацию последствий инцидента. Сам инцидент отошёл на второй план: нарушением стало отсутствие обязательного документированного анализа рисков.
Небольшая медицинская клиника в Альфаретте, штат Джорджия, не отделалась штрафом. После атаки с использованием программного обеспечения-вымогателя, клинике пришлось закрыться навсегда.
Три вещи, которые вы можете сделать прямо сейчас
Не для каждой меры нужна ИТ-команда. Есть несколько вещей, которые любой администратор офиса может реализовать или предложить сегодня — и это действительно важно.
Включите двухфакторную аутентификацию для своих учетных записей электронной почты. Если в вашей компании используется Microsoft 365 или Google Workspace, обе платформы позволяют администраторам включить эту функцию в настройках учетной записи без установки дополнительного программного обеспечения. При активной двухфакторной аутентификации, даже если злоумышленник получит пароль Джессики, он все равно не сможет получить доступ к ее электронной почте без кода, который она получает на свой телефон. Это одно действие эффективно блокирует большинство случаев взлома учетных записей, основанных на фишинге. Если вы не уверены, где найти эту настройку, поищите «[название вашей платформы электронной почты] + включить MFA для всех пользователей» — Microsoft и Google публикуют подробные инструкции для выполнения этой конкретной задачи.
Введите простое правило: если сотрудник нажал на подозрительную ссылку, он должен сразу сообщить об этом. В настоящее время большинство сотрудников, которые подозревают, что перешли по вредоносной ссылке, молчат, потому что чувствуют смущение или не уверены, что это проблема. Эта задержка превращает небольшой инцидент в серьезную проблему. Чётко объясните команде: если вы перешли по ссылке и что-то показалось странным — страница выглядела необычно, вы вводили свой пароль в неожиданном месте, браузер совершил нечто неожиданное — немедленно сообщите об этом кому-нибудь. Без осуждения. Чем быстрее будет сообщено о потенциальной угрозе, тем больше у вас возможностей для ее нейтрализации.
Заранее определите, кому вы позвоните в первый час реального инцидента.
Это может показаться очевидным, но большинство небольших компаний не имеют ответа на этот вопрос. Если завтра утром вы обнаружите, что ваш файловый сервер зашифрован, а на каждом экране компьютера находится записка с требованием выкупа, кому вы позвоните первым? Запишите этот номер, прежде чем он понадобится.
Что вам не удастся сделать самостоятельно — и почему это нормально
Даже если вы выполните все эти три действия идеально, реагирование на реальный инцидент выходит далеко за их рамки.
Чтобы определить, к чему именно получил доступ злоумышленник, требуется извлечение и анализ лог-файлов с вашей платформы электронной почты, сетевого оборудования, серверов и конечных точек — сопоставление временных меток, IP-адресов и активности пользователей для восстановления хронологии действий злоумышленника и определения данных и систем, к которым он обращался. Этот процесс называется цифровой криминалистикой, и он определяет, сообщаете ли вы о подтвержденном нарушении или о локализованном инциденте. Эта разница имеет огромное значение для целей HIPAA.
Изоляция скомпрометированной системы без запуска вредоносного кода — если он присутствует — требует знания разницы между отключением сетевого кабеля и выполнением команды удалённой изоляции через ваше программное обеспечение для управления конечными точками. Неправильное выполнение этой задачи может привести к тому, что вместо одной зашифрованной рабочей станции будет зашифрована вся серверная комната.
Письма с уведомлением об утечке по правилам HIPAA должны содержать конкретные элементы: описание произошедшего, типы затронутой информации, меры, которые принимает клиника, что могут сделать пострадавшие, чтобы защитить себя, и контактную информацию для вопросов. Они должны быть направлены нужным людям в нужное время, и документация всего процесса должна храниться в течение шести лет.
Общие затраты на восстановление после инцидента с использованием программного обеспечения для шифрования в здравоохранении в последнее время составляли в среднем 2,57 миллиона долларов на инцидент — не потому, что требование выкупа было таким высоким, а из-за расследования, восстановления, процесса уведомления, реагирования регулирующих органов и простоев в работе, пока системы восстанавливаются. При этом средняя сумма требуемого выкупа фактически снизилась. Но затраты, связанные с этим, остались прежними.
Главный вопрос заключается не в том, «Может ли это произойти с нами?».
Целью атак являются медицинские учреждения любого размера — в частности, из-за того, что они хранят ценные данные о пациентах, часто имеют ограниченные ИТ-ресурсы и подвергаются давлению со стороны регуляторов, что делает выплату выкупа более привлекательной, чем проведение расследования. 88% сотрудников медицинских учреждений открыли фишинговые электронные письма в 2024 году, согласно исследованиям в области кибербезопасности, представленным в отчетах HIMSS. Речь об открытии писем, а не о переходах по ссылкам. Фактические показатели кликов достаточно высоки, поэтому для небольшой клиники вопрос не в том, попадет ли фишинговое письмо в почтовый ящик. Вопрос в том, насколько надежно защищена среда вокруг этого почтового ящика от дальнейших действий.
Медицинская организация, использующая многофакторную аутентификацию, мониторинг конечных точек, поддерживаемую резервную копию, не подключенную к той же сети, и документированный план реагирования на инциденты, не является неуязвимой. Но это организация, в которой неудачный вторник остаётся просто неудачным вторником — без шестимесячного восстановления, расследования со стороны регулирующих органов и письма каждому пациенту, которого вы принимали за последние три года.
Если вы не уверены в текущей ситуации с точки зрения безопасности — что контролируется, что резервируется, что произойдет, если что-то пойдет не так — это правильный вопрос, с которого стоит начать. Это именно та проверка, которую стоит провести до получения фишингового письма, а не после.
Аутентификация электронной почты – еще один важный аспект, который следует проверить до возникновения инцидента фишинга, а не после него. DMARC помогает владельцам доменов снизить несанкционированное использование их домена в поддельных электронных письмах, в то время как SPF и DKIM предоставляют сигналы аутентификации, которые оценивает DMARC. Для более подробного технического руководства, ознакомьтесь с нашим руководством по внедрению, настройке и мониторингу DMARC, включая политики SPF, DKIM, DMARC, отчетность и планирование применения политики DMARC.
DK’s Enterprises уже более 25 лет помогает медицинским учреждениям и предприятиям любого размера в Нью-Йорке справляться с подобными рисками. Если вы хотите оценить текущую защищённость вашей организации, мы будем рады начать с обсуждения.
