大量医疗数据被倒卖，谁该为数据泄露担责?

发布日期：2016-07-27

在网络技术不断发展的同时，一系列的恶意勒索方式也在不断衍生，恶意勒索是黑客用来获取用户信息或资源并以此为条件向用户勒索钱财的一种方式。

医疗数据泄露

医疗数据价值连城

下面这个故事就更加令人感到不安了，该故事中的主角已经盗取了数家医院的医疗数据。他甚至声称：

“我对于这一问题并没有任何罪恶感，如果真的存在什么问题的话，那就是我帮助提高了他们系统的安全性以及防护措施!”

该名黑客自称The Dark Lord，曾在暗网中出售数据，我决定跟这名黑客沟通一下，看看这名黑客是如何盗取到数据的。

在过去两个星期，我一直和这名黑客接触想要了解到其想法，这名黑客向我详细的描速了是如何盗取数据并敲诈一家诊所的，自6月15日以来，我和该黑客进行了多次谈话，当然这名黑客的身份我是不清楚的，很显然该黑客不仅仅和我聊天，还有其他人也正在和他聊天，他有一个攻击案例和我说的很详细，即对一家美国的骨科诊所发起的网络攻击。

该黑客称已经复制了该诊所的Access数据库，里面包括了很多病例资料，并要求诊所支付250比特币(165000美元)，如果不支付赎金，那么该黑客将会公布这些数据，同时打算在暗网网站The Real Deal上以60比特币或39460美元价格出售它。正如之前所说，该黑客称不认为这样做有什么问题，黑客为了证明这件事的真实性，曝光了47865条信息，这些信息都包括，病人家庭地址、婚姻状况、电话，保险以及驾照的扫描件，保险材料中涉及的公司包括，联合健康集团、 BlueCross BlueShield、Monitor Life Insurance Co(纽约)、美国哈门那公司等。

近年来医疗数据一直受到一些黑客的追捧，因为这些信息可以被用于身份窃取，甚至可以被用于犯罪行为。

为了验证这些数据是不是有效的，我决定实际测试一下数据，我在这些数据中看到一个男人，他曾在两个月前到过该诊所，而且电话以及驾照资料都在这些信息中，在后来整理他的数据中还发现了他的社保号以及出生日期，我又收集了其他一些人的信息，并开始给这些人打电话，当然我在电话里面说明他们的社保号时，他们很惊讶，然而还有一些人出现了质疑声音，当我给一个男人打去电话说明这一点的时候，他的老婆后来给我回个电话，并称我怎么知道你不是黑客。

当然，这里面还有人不承认自己的信息，还有一些人比较随和，并告诉我社保号是正确的，但是出生日期是错误的，可能是他们在诊所的时候输入错误造成的，后来该黑客告诉我说，可能是有的信息登记距离现在时间太长造成的( 2001年)。

医疗数据为什么会泄露?

在去年Trustwave曾发布了一份2015年医疗行业的安全报告，通过对398名专业的医疗专业人员(部分是技术人员，包括CIO、CISO、IT主管等，另一部分是普通的医护人员)的调查，发现有91%的调查对象认为针对医疗行业的网络攻击活动越来越多，然而用在保护病人敏感信息方面的预算却还不到10%。主要原因有三点：

1，医疗记录迅速的转移到了网上，并且在病人、医疗机构之间可共享。

2，物联网设备和云服务的使用。

3，医疗保险数据的价值越来越高。

黑客告诉我说，他曾在6月中旬向医疗诊所的创始人发邮件通知这件事情：

“我们已经破解了你们的网络，我们手里已经有你们很多医疗数据，包括你们认为最有价值的病人病例。”

他用到是一个0day漏洞，即RDP协议漏洞，由此可见及时更新系统补丁还是很重要的。后来我和该诊所沟通了这一问题，他们的经理表示会把该事件细节交给律师，但目前诊所还没有答复相关问题。

医疗行业数据盗窃后果非常严重，美国每年有超过200万的人会成为受害者，由此造成的损失高达13500美元，并且还需花费上百个小时来解决这个问题。为了解决医疗行业数据被窃，技术人员提供了两个安全方法：

1，是数据分割，控制用户个人和医疗机构查看数据内容的权限;

2，是数据加密。

加密对数据来说非常重要，尤其是数据在各医疗机构的传输过程中。然而即使数据加密了，但是在向另一机构传输的过程中如果缺乏必要的安全保障，同样会存在安全风险。

延伸:企业内部管理系统机密信息保密整体解决方案

医疗行业正经历一个非常严峻的安全时代：威胁越来越高级，安全技能却没能同步进化，安全方面的预算严重不足，医疗设备很难管理，传统系统亟待更新，被攻击的范围在逐渐扩大。而对于用户来说这里有几点建议，不要在多个网站上使用相同的密码、不要点开来源不明的文件、及时更新系统软件、还有就是不要留下过多个人信息。