CommonSpirit Health Ransomware-Angriff erklärt | phoenixNAP

CommonSpirit Health, die zweitgrößte gemeinnützige Krankenhauskette in den USA, war im Oktober 2022 das Ziel eines verheerenden Ransomware-Angriffs. Das schiere Ausmaß des Vorfalls zwang die Organisation dazu, Einzelheiten über den Verstoß preiszugeben, was Gesundheitsdienstleister normalerweise vermeiden. Bietet wertvolle Lektionen darüber, wie man sich nicht auf einen Ransomware-Angriff vorbereiten und darauf reagieren sollte.

In diesem Artikel wird der jüngste Ransomware-Angriff von CommonSpirit Health aufgeschlüsselt, einer der bemerkenswertesten Cyberkriminalitätsvorfälle des Jahres 2022. Erfahren Sie genau, wie sich der Angriff abspielte und sehen Sie, was CommonSpirit Health vor und während des Angriffs hätte besser machen können Vorfall.

Was geschah während des Ransomware-Angriffs auf CommonSpirit Health?

Am 2. Oktober 2022 entdeckte das Sicherheitsteam von CommonSpirit seltsame Aktivitäten in mehreren Netzwerken. Laut der Zusammenfassung der Ereignisse durch die Organisation hat das Team sofort Maßnahmen ergriffen, um:

• Erhöhen Sie die Netzwerksicherheit.
• Schalten Sie Systeme offline, um die Bedrohung zu isolieren.
• Ziehen Sie externe Cybersicherheitsspezialisten hinzu, um den Vorfall zu untersuchen.

Böswillige Aktivitäten und vorsorgliche Systemabschaltungen unterbrachen den Zugang zu elektronischen Gesundheitsakten (EHRs) und zwangen Einrichtungen in mehreren Regionen, die Patientenversorgung zu verzögern. Krankenhäuser und Pflegeeinrichtungen in mehreren Bundesstaaten meldeten Unterbrechungen, darunter:

• Nebraska.
• Tennessee.
• Texas.
• Washington.
• Iowa.

CommonSpirit gab den Angriff drei Tage später, am 5. Oktober, öffentlich zu. Die Organisation äußerte sich nicht zur Art des Verstoßes und beschrieb das Problem als „IT-Sicherheitsproblem“ und nicht als Ransomware. Damals weigerte sich CommonSpirit zu sagen, ob Eindringlinge an Patienteninformationen oder Gesundheitsdaten gelangt seien.

Zwei Monate später bestätigte CommonSpirit in einem Update vom Dezember 2022, dass die Organisation einem Ransomware-Angriff ausgesetzt war. Zwischen dem 16. September und dem 3. Oktober haben Bedrohungsakteure Teile des Netzwerks infiltriert. Während dieser Zeit verschafften sich Kriminelle Zugang zu den personenbezogenen Daten von Patienten, die bei Franciscan Health, einer Tochtergesellschaft von CommonSpirit Health mit 12 Krankenhäusern, behandelt wurden.

Mit Stand März 2023 hat der Gesundheitsdienstleister den Angriff noch keiner bestimmten Ransomware-Gruppe zugeordnet. Auch keine kriminelle Organisation nimmt die Verantwortung für sich in Anspruch, so dass die Identität des Bedrohungsakteurs für die Öffentlichkeit ein Rätsel bleibt.

Während CommonSpirit sich immer noch weigert anzuerkennen, wie Schadsoftware in seine Netzwerke gelangt ist, vermuten Experten, dass Kriminelle Phishing genutzt haben, um das Konto eines hochrangigen Administrators zu kompromittieren. Spekulative „Post-Mortems“ deuten darauf hin, dass die beiden wahrscheinlichsten Ziele sind:

• Der Krankenhausdomänenadministrator.
• Der Datenbankeintragsadministrator.

Einmal im Netzwerk angekommen, hatten Eindringlinge etwa 18 Tage Zeit, um andere Konten zu kompromittieren und sich seitlich durch Systeme auf der Suche nach geschützten Gesundheitsinformationen (PHI) zu bewegen.

Wer war von der Datenschutzverletzung durch CommonSpirit betroffen?

CommonSpirit enthüllte, dass Bedrohungsakteure an die personenbezogenen Daten von Personen gelangten, die in den sieben Franciscan Health-Krankenhäusern im Bundesstaat Washington (sowie mehreren angeschlossenen Arztpraxen) behandelt wurden. Hier finden Sie eine Liste der betroffenen Einrichtungen:

• St. Anne Hospital, ehemals Highline Hospital (Burien).
• St. Michael Medical Center, ehemals Harrison Hospital (Bremerton & Silverdale).
• St. Joseph Hospital (Tacoma).
• St. Francis Hospital (Bundesweg).
• St. Anthony Hospital (Gig Harbor).
• St. Elizabeth Hospital (Enumclaw).
• St. Clare Hospital (Lakewood).

Eindringlinge haben während des Ransomware-Angriffs CommonSpirit Health auf diepersönlichen Daten von 623.774 Patienten zugegriffen. Hacker verschafften sich außerdem unbefugten Zugriff auf personenbezogene Daten von Familienmitgliedern und Betreuern von Patienten.

Alle sieben in Washington ansässigen Einrichtungen mussten EHRs schließen, was die Krankenhäuser dazu zwang, Operationen und Termine zu verschieben. Auch andere Krankenhäuser bekamen die indirekten Auswirkungen des Vorfalls zu spüren. Die folgenden Einrichtungen haben Probleme gemeldet:

• Virginia Mason Franciscan Health-Anbieter mit Sitz in Seattle.
• MercyOne Des Moines Medical Center.
• CHI-Gesundheitseinrichtungen in Nebraska und Tennessee.
• St. Luke's Health mit Sitz in Houston.
• Trinity Health System mit Sitz in Michigan.

Die Wiederherstellung des Zustands der Systeme vor dem Vorfall war langsam und schwierig. Die meisten Krankenhäuser erholten sich innerhalb von zwei bis drei Wochen, aber einige hatten am 9. November (mehr als einen Monat nach dem Angriff) immer noch nicht alle EHR-Systeme wieder online.

Auch CommonSpirit erlitt zu dieser Zeit enorme finanzielle Verluste. Während die Organisation sich weigert zu antworten, ob sie das Lösegeld gezahlt hat, hat der Anbieter durch den Angriff schätzungsweise 150 Millionen US-Dollar Verlust erlitten. Diese Zahl beinhaltet:

• Die Kosten für die Wiederherstellung des Zustands von IT-Systemen vor dem Vorfall.
• Entgangener Umsatz durch die Betriebsunterbrechung.

CommonSpirit sieht sich außerdem mit einer Sammelklage konfrontiert, in der behauptet wird, dass bei dem Ransomware-Angriff Fahrlässigkeit eine Rolle gespielt habe. Ein Patient aus dem Bundesstaat Washington reichte die Klage am 29. Dezember 2022 ein und machte den Anbieter dafür verantwortlich, dass er es versäumt habe, „angemessene Sorgfalt walten zu lassen“ und die Patienten einem erhöhten Risiko eines Identitätsdiebstahls aussetze.

Welche Daten wurden kompromittiert?

Der Ransomware-Angriff CommonSpirit Health ermöglichte Hackern den Zugriff auf die sensiblen Daten von über 620.000 Patienten sowie deren Familienangehörigen und Betreuern. Den Kriminellen gelang es, Folgendes zu erreichen:

• Namen.
• Adressen.
• Telefonnummern.
• Geburtsdaten.
• Eindeutige IDs, die intern von der Organisation verwendet werden (nicht die Krankenaktennummer oder Versicherungs-ID).

Während CommonSpirit weiterhin behauptet, dass es keine Beweise dafür gibt, dass Hacker persönliche Daten „missbraucht“ haben, sind diese Daten eine Goldgrube für Identitätsdiebstahl. In den meisten Fällen verkaufen Kriminelle diese Art von Daten an den Meistbietenden oder veröffentlichen sie einfach im Darknet.

Wenn es Hackern gelingt, Daten vor der Verschlüsselung zu exfiltrieren, werden wir die Auswirkungen dieses Angriffs wahrscheinlich noch in den kommenden Jahren spüren.

Wie könnte der Ransomware-Angriff CommonSpirit Health verhindert werden?

CommonSpirit Health betreibt 142 Krankenhäuser und über 2.200 Pflegestandorte in 21 Bundesstaaten. Es ist schwierig, diese riesige Angriffsfläche zu schützen, aber das Unternehmen hätte mehr Zeit und Mühe in die Ransomware-Prävention investieren sollen.

Folgendes hätte der Anbieter vor und während des Ransomware-Angriffs CommonSpirit Health besser machen können:

• Mangelhafte Netzwerksicherheit: Da Hacker 18 Tage damit verbracht haben, zwischen Systemen zu wechseln, besteht die Wahrscheinlichkeit, dass der Anbieter nicht in Netzwerksegmentierung, strenge Zugriffskontrollen, Intrusion-Detection-Systeme (IDSes) oder Zero-Trust-Sicherheitsmaßnahmen investiert hat.
• Ineffiziente Reaktion: Das Fehlen eines wirksamen Notfallreaktions- und Notfallwiederherstellungsplans verhinderte, dass die Organisation den Betrieb schnell wiederherstellen konnte. Berichten zufolge brauchte der Anbieter nach Beginn des Angriffs mehr als zwei Wochen, um eingeschränkte EHR-Funktionen wiederherzustellen. Zwei Wochen liegen weit über der akzeptablen RTO für solche kritischen Systeme.
• Schlechte Phishing-Abwehr: Da Kriminelle Phishing nutzten, um einen Einstiegspunkt in das Netzwerk zu schaffen, ist es wahrscheinlich, dass der Anbieter nicht viel in die E-Mail-Sicherheit oder die Schulung des Sicherheitsbewusstseins seiner Mitarbeiter investiert hat. Phishing-Versuche lassen sich relativ leicht stoppen, indem man E-Mails filtert und den Mitarbeitern beibringt, Anzeichen verdächtiger Nachrichten zu erkennen (unbekannte Begrüßungen, Grammatikfehler, nicht übereinstimmende Adressen und Domänennamen, ungewöhnliche Anfragen usw.).
• Keine Verschlüsselung im Ruhezustand: Wenn der Anbieter die Verschlüsselung im Ruhezustand verwenden würde, um gespeicherte Daten zu schützen, könnten die Angreifer auch nach der Datenexfiltration keine PHI stehlen. Wahrscheinlich verfügte das Unternehmen auch über keine aktuellen Datensicherungen, wenn man bedenkt, wie lange es gedauert hat, bis der Anbieter den Betrieb wieder aufgenommen hat.
• Keine Expertenunterstützung durch Dritte: Berichten zufolge wandte sich CommonSpirit Health erst an Sicherheitsexperten, nachdem diese verdächtige Netzwerkaktivitäten festgestellt hatten. Wenn Ihrem internen Team das nötige Know-how zur Abwehr von Ransomware fehlt, ist die Beauftragung externer Spezialisten eine selbstverständliche Investition (und eine deutlich geringere als die, die Kriminelle nach Entschlüsselungsschlüsseln verlangen).

Ransomware-Angriffe im Gesundheitswesen

Gesundheitsdienstleistern sind Ransomware-Angriffe nicht fremd. Trotz einiger Sicherheitsverbesserungen in den letzten Jahren bleiben Krankenhäuser eines der häufigsten Ziele dieser Art von Cyberkriminalität.

Hier sind einige Statistiken, die die Gefahr veranschaulichen, die Ransomware-Angriffe für die Gesundheitsbranche darstellen:

• Etwa 66 % aller Krankenhäuser in den USA waren irgendwann im Jahr 2022 das Ziel eines Ransomware-Angriffs.
• Zwei von drei IT-Experten im Gesundheitswesen melden in den letzten 12 Monaten einen „erheblichen Cybersicherheitsvorfall“.
• Die durchschnittliche Wiederherstellungszeit für einen Gesundheitsdienstleister nach einem Ransomware-Angriff beträgt eine Woche. Diese Zahl war im Jahr 2021 etwas niedriger (rund 6,2 Tage).
• Die durchschnittlichen Kosten für die vollständige Wiederherstellung von Diensten und Systemen in den Zustand vor der Ransomware beliefen sich im Jahr 2022 auf 1,85 Millionen US-Dollar.
• Im Jahr 2022 zahlten Gesundheitsdienstleister bei etwa 61 % der Ransomware-Vorfälle das Lösegeld. Keine andere Branche hatte eine höhere Quote.
• Gesundheitsdienstleister zahlten im Jahr 2022 ein durchschnittliches Lösegeld von rund 197.000 US-Dollar, das niedrigste in der Branche. Allerdings betrug die durchschnittliche Lösegeldforderung im Gesundheitswesen im Jahr 2020 „nur“ 16.000 US-Dollar.
• Die durchschnittliche Kostenverletzung im Gesundheitswesen kostet derzeit 10,1 Millionen US-Dollar und ist damit der höchste Wert aller Branchen.
• Sicherheitsteams in Krankenhäusern benötigen durchschnittlich 232 Tage, um einen Verstoß zu erkennen, und weitere 85 Tage, um die Bedrohung einzudämmen.
• Im Jahr 2022 gab es 24 erfolgreiche Ransomware-Angriffe auf in den USA ansässige Gesundheitsdienstleister (von den Vorfällen waren insgesamt 289 Krankenhäuser betroffen). Bei 17 von 24 bestätigten Angriffen stahlen Kriminelle Dateien und drohten mit einem Datenleck.
• Fast 22 % der Gesundheitsorganisationen glauben, dass Ransomware im Jahr 2022 einen direkten Einfluss auf die Patientensterblichkeitsrate hatte.
• Drei von vier Ransomware-Angriffen auf Krankenhäuser führen zu Betriebsunterbrechungen, wie zum Beispiel abgesagten Operationen und verlängerten Krankenhausaufenthalten.
• Experten gehen davon aus, dass die weltweiten Kosten von Ransomware-Angriffen auf die Gesundheitsbranche bis 2025 25 Milliarden US-Dollar überschreiten werden.

Lernen Sie aus dem Ransomware-Angriff CommonSpirit Health

Auch wenn uns immer noch nicht alle Details zu dem Vorfall bekannt sind (und dies wahrscheinlich auch nie der Fall sein wird), ist klar, dass der jüngste Angriff für CommonSpirit Health verheerende Folgen hatte. Berichte über hohe Verluste, Reputationsschäden und drohende Klagen setzen die Krankenhauskette unter Druck, obwohl sie beschlossen hat, über die jüngsten Ereignisse Stillschweigen zu bewahren. Bereiten Sie sich auf Ransomware-Angriffe vor, anstatt ein ähnliches Szenario für Ihr Unternehmen zu riskieren.