دو سیستم بهداشتی دانشگاهی بزرگ در ایالت‌های نیومکزیکو و اوهایو آمریکا در حال مقابله با پیامدهای حملات سایبری هستند که بار دیگر منجر به اختلال در خدمات ارائه به بیماران شده است. این حملات باج‌افزار (Ransomware) نگرانی‌های جدی در مورد سرقت اطلاعات حساس بیماران، درخواست‌های اخاذی، دعاوی حقوقی جمعی و جریمه‌های نظارتی سنگین را برانگیخته است.
توقف خدمات حیاتی در نیومکزیکو
در نیومکزیکو، حمله سایبری به مرکز علوم بهداشتی دانشگاه نیومکزیکو (UNM) باعث شد تنها مرکز تروما سطح ۱ این ایالت، آمبولانس‌ها را به طور موقت به بیمارستان‌های دیگر منحرف کند. این حادثه منجر به تعلیق جراحی‌های سرپایی، لغو قرار ملاقات‌ها و حتی تعطیلی کلاس‌های دانشکده پزشکی شد.
در این میان، یک عامل تهدید (Threat Actor) نسبتاً جدید به نام Byod ادعا کرده است که ۳۶,۰۰۰ دستگاه در محیط‌های دانشگاهی و بیمارستانی UNM را آلوده کرده است. نکته عجیب در این حمله، ادعای این گروه مبنی بر ارائه کلید رمزگشایی (Decryption Key) رایگان برای دستگاه‌های مرتبط با خدمات درمانی بیماران بود؛ آن‌ها مدعی شدند که نمی‌دانستند برخی سیستم‌ها در لحظه به بیماران کمک می‌کنند و در غیر این صورت آن‌ها را قفل نگه می‌داشتند.
با این حال، این گروه ادعا کرد که داده‌های حساس دانشجویان، کارکنان و بیماران، از جمله اطلاعات شناسایی شخصی (PII)، ایمیل‌های داخلی و پرونده‌های پزشکی را در اختیار دارد و حتی پیشنهاد پرداخت مبلغ ۲,۵۰۰ دلار به هر بیماری که متضرر شده است را مطرح کرد تا توجهات را جلب کند.
بحران در اوهایو و دعاوی میلیونی
در سوی دیگر، سیستم بیمارستانی University Hospitals در کلیولند اوهایو، همچنان در حال بازیابی سیستم‌های IT خود پس از حادثه‌ای است که منجر به از دسترس خارج شدن پورتال بیماران (MyChart) و اختلال در تاییدیه بیمه‌ها شد. این مرکز درمانی با یک شکایت حقوقی جمعی در سطح فدرال مواجه شده است که توسط یکی از بیماران به نمایندگی از بیش از یک میلیون بیمار فعلی و سابق مطرح شده و ادعا می‌کند که بیمارستان در محافظت از اطلاعات حساس بهداشتی سهل‌انگاری کرده است.
جریمه‌های نظارتی و استانداردهای HIPAA
این حوادث در حالی رخ می‌دهد که دفتر حقوق مدنی وزارت بهداشت و خدمات انسانی آمریکا (HHS)، توافقی ۸۰۰ هزار دلاری را با شبکه بهداشتی Lehigh Valley برای نقض احتمالی قوانین HIPAA پس از یک حمله باج‌افزاری در سال ۲۰۲۳ اعلام کرد. در آن حادثه، هکرها تصاویر حساس بیماران سرطانی را در دارک‌وب (Darkweb) منتشر کرده بودند.
علاوه بر جریمه‌های نظارتی، شبکه Lehigh Valley در سال ۲۰۲۴ پذیرفت که ۶۵ میلیون دلار برای تسویه دعاوی حقوقی جمعی پرداخت کند. این حمله که توسط گروه باج‌افزاری BlackCat (معروف به AlphV) انجام شده بود، به دلیل افشای تصاویر پزشکی بسیار حساس، یکی از شدیدترین نقض‌های داده در حوزه بهداشت و درمان شناخته می‌شود.
توصیه‌های امنیتی برای کاربران
در پی این حملات، مراکز درمانی به بیماران و کارکنان هشدار داده‌اند که مراقب کلاهبرداری‌های ثانویه باشند. عامل‌های تهدید ممکن است با ارسال لینک‌های جعلی یا پیشنهاد پرداخت غرامت، سعی در سرقت اطلاعات مالی یا شناسایی کاربران داشته باشند. توصیه می‌شود از کلیک بر روی لینک‌های مشکوک و باز کردن پیوست‌های ناشناس در ایمیل‌ها خودداری شود.
