医疗行业勒索软件：应用程序威胁载体

F5生态系统 | 2025年6月13日

医疗保健行业面临的安全事件持续增加，恢复时间也较长，因此仍是攻击者青睐的目标。预算紧张，加之基础设施现代化改造工作复杂，不可避免地会造成网络安全缺口。虽然勒索软件会攻击各个垂直行业，但在医疗保健行业，威胁越来越多地源于应用层攻击，尤其是利用漏洞和凭据泄露发起的攻击。

满足《健康保险流通与责任法案》（HIPAA）、《经济和临床健康信息技术法案》（HITECH）以及《支付卡行业数据安全标准》（PCI-DSS）等合规要求是企业的当务之急，但在快速变化的行业中，保护个人健康信息（PHI）对于保持竞争力和客户信任至关重要。

本篇博文将探讨医疗保健机构如何在提供个性化的患者和医疗服务提供者体验（如今已由AI增强）与抵御日益增多的勒索软件安全威胁之间寻求平衡。这些威胁以连接患者和医疗服务提供者的应用及API为目标，而这种平衡也越来越难以把握。

应用、API和AI对患者护理至关重要

通过电子健康记录（EHR）系统在线访问患者门户以及在线付款的便利性，已成为基本要求。

不法分子也注意到了这一点。威胁行为者利用云应用中的漏洞，未经授权访问敏感数据，从而扰乱供应链，并对关键基础设施构成重大威胁。

根据Forrester的预测，美国排名前10的健康保险公司中，将有一半使用AI来加强会员权益维护。该领域的先行者Epic指出，如果医疗卫生系统不使用AI，每4名患者中就有1名会对此感到担忧。鉴于AI生态系统通过API互连，且其底层软件供应链包含横跨混合云和多云环境的组件，AI将进一步扩大风险敞口，并增加安全入侵事件，例如利用漏洞，以及通过机器人和恶意自动化滥用业务逻辑。面向患者和医疗服务提供者开放的自然语言处理（NLP）界面也面临同样的风险；这些界面旨在通过生成式AI改善客户体验并简化医疗服务流程。

合规要求开始显现约束力

美国医疗机构正迅速陷入难以承受的风险境地。尽管自2018年以来，与黑客攻击相关的数据泄露事件增加了239%，但只有42%的机构计划维持对提升网络安全和保护隐私技术的投资，部分机构甚至可能减少投资。尽管情报机构和行业协会已就患者诊疗数据面临的迫在眉睫的威胁发出警告，这一投入缺口依然存在。虽然HITECH和PCI-DSS强制要求医疗机构承担起提供充分安全保障的责任，但医疗行业必须认识到，仅仅满足合规要求已远远不够。

“基准不应只是合规，而应是网络安全最佳实践。”

应用攻击正助长勒索软件活动

2024年，医疗行业勒索软件攻击中最常见的攻击途径是利用漏洞和泄露的凭据。由于攻击日益复杂且严重程度不断上升，恢复所需的时间也越来越长。例如，自1月以来，一系列在野攻击持续利用某个应用漏洞，在无需身份验证的情况下执行任意代码。威胁行为者利用这些漏洞部署Web Shell，随后将其用于进一步的恶意活动。

除了漏洞之外，应用和API暴露的业务逻辑本身也容易被机器人滥用。据F5 Labs称，在医疗保健行业，针对登录流程的高级持久性机器人最为常见。例如，基因检测公司23andMe的衰落在一定程度上被归因于一场凭据填充攻击，该攻击导致客户的健康和血统信息泄露。由于机器人使用合法凭据，并非试图利用软件漏洞，因此可能不会触发安全警报。多重身份验证（MFA）有助于防范凭据填充攻击，但随着实时网络钓鱼代理（RTPP）的兴起，这种方法并非万无一失。