В 2025 году сектор здравоохранения столкнулся с беспрецедентной волной атак с использованием программ-вымогателей (ransomware, вредоносное ПО для блокировки данных с требованием выкупа), которые поставили под угрозу не только конфиденциальность пациентов, но и непрерывность оказания медицинской помощи. По данным экспертов по кибербезопасности, более 50 подтвержденных инцидентов было зафиксировано только в США, в результате чего скомпрометированными оказались свыше 3,2 миллионов записей пациентов. Это подчеркивает растущую изощренность киберпреступников и уязвимость критически важной инфраструктуры.
Описание
Атаки были направлены на больницы, клиники и поставщиков медицинских услуг, что привело к операционным сбоям, краже данных и реальному физическому ущербу для пациентов. В наиболее тяжелых случаях последствия включали отмену процедур, перенаправление машин скорой помощи и, как минимум, один случай с летальным исходом в Великобритании, что демонстрирует прямую связь между киберпреступностью и угрозой для жизни людей.
Среди наиболее резонансных инцидентов - атака на Frederick Health в январе, затронувшая более 934 тысяч человек и вызвавшая перебои в работе служб скорой помощи. В мае группа Killsec атаковала Ocuco Inc., скомпрометировав данные 241 тысячи пациентов, а RansomHub нацелился на Неврологический институт Саванны, затронув 33 тысячи человек. Июнь стал месяцем масштабных атак: INC атаковал McLaren Health Care (743 тысячи пострадавших) и Kettering Health, что вызвало системные сбои и отмену медицинских процедур. Episource столкнулся с утечкой данных 5,4 миллионов пациентов.
Летом атаки продолжились: INTERLOCK атаковал Gastroenterology Consultants of South Texas (45 тысяч записей) и DaVita в августе, где было скомпрометировано 2,7 миллионов записей, включая номера социального страхования, истории болезней и изображения чеков. Общие затраты на ликвидацию последствий атаки на DaVita оцениваются в 13,5 миллионов долларов США.
Особенностью атак 2025 года стало использование программ-вымогателей, написанных на кроссплатформенных языках, таких как Golang, что расширяет их охват. Отмечается, что в отчетах отсутствуют упоминания об использовании уязвимостей из базы CVE (Common Vulnerabilities and Exposures), что указывает на reliance (опору) злоумышленников на методы социальной инженерии и слабости цепочек поставок.
Среди наиболее активных семейств программ-вымогателей, отслеживаемых PolySwarm, выделяются INC, впервые обнаруженный в январе 2025 года и атаковавший более 30 медицинских организаций в первой половине года. RansomHouse, написанный на Golang, перешел от модели шантажа данными к шифрованию в 2025 году, атаковав как минимум пять медицинских учреждений. Qilin, использующий Golang и Rust, атаковал 25 целей, включая японскую клинику Utsunomiya Central Clinic, требуя выкуп до 5 миллионов долларов.
Akira, написанный на C++ и Rust, атаковал 70 медицинских целей, включая Tietoevry в Швеции и Prospect Medical Holdings, нарушив работу 16 больниц. Embargo, ребрендинг BlackCat, атаковал Memorial Hospital и Weiser Memorial Hospital, потребовав 1,3 миллиона долларов. INTERLOCK, эволюционировавший из Chaya_002, использовал drive-by downloads для доставки RAT (Remote Access Trojan, троянец удаленного доступа) и атаковал 14 медицинских учреждений.
BrainCipher, вариант LockBit 3.0, эксплуатировал уязвимость CVE-2023-28252 и вызвал сбои в работе Delta County Memorial Hospital. Rhysida атаковала королевскую больницу King Edward VII’s Hospital в Великобритании. RansomHub, ребрендинг Knight, скомпрометировал 100 миллионов записей в атаке на Change Healthcare. Наконец, Warlock, новая услуга RaaS (Ransomware-as-a-Service, вредоносное ПО-как-услуга), связанная с китайским актором Storm-2603, использовала уязвимости нулевого дня в Microsoft SharePoint и атаковала как минимум две медицинские организации в августе 2025 года.
Эти атаки демонстрируют необходимость усиления защитных мер в медицинском секторе, включая регулярное обновление ПО, обучение сотрудников, внедрение многофакторной аутентификации и систем мониторинга угроз. Кибербезопасность становится неотъемлемой частью обеспечения непрерывности медицинской помощи и защиты жизни пациентов.
Индикаторы компрометации
SHA256
- 0195f7d41644e87291092aff91770f0eca1ab775562b56791a31f409793499e4
- 03846420849bd03645e675f1b8d86fc31d08c39728cf6d3d4ab209380e843ef7
- 05e4f234a0f177949f375a56b1a875c9ca3d2bee97a2cb73fc2708914416c5a9
- 0cb4e7d35eb3f4585c6168988247e30d99ef24d3ef006d91971e3913ef593c42
- 0e2cb8aa1d0d385eb0f45730c682501600b68e672896869472ad975c33d00a6f
- 0f2b1392977e297d19e3d44fbb24cb9dcf8b8fa74b46a1d21daef8a97b25a10b
- 1835ea8f97dcc423df4e3382847a97a001c60be8ac566dfead3ae9b81f877161
- 1a50f5f752562c7be64a14a1cbef54a460cb7d11631ce2af55622a1f4156b169
- 1a7c754ae1933338c740c807ec3dcf5e18e438356990761fdc2e75a2685ebf4a
- 1bb0f159fe7a9a43eec4b366b59c768c89b7ace1cad2c1d3a2398f0a69c6e2bd
- 1df4a74fbe8a9875a4386960f1006d29de7907af830b4c8a30a643e752299030
- 250e81eeb4df4649ccb13e271ae3f80d44995b2f8ffca7a2c5e1c738546c2ab1
- 269338a2e650faa4ad01951e874d33f00d968af77c3a73432294fe46fb7669d5
- 27a3cc834c1cd00ad5378c373d76957998bb54bbcfe67bbf3ae5c7be5a5a66dd
- 2a3942d213548573af8cb07c13547c0d52d1c3d72365276d6623b3951bd6d1b2
- 2c2d5cf0d29789e2a4d451c06fee257a1180dc6b7a5d66d1f96b32ef832d06d3
- 2d04d802438ae93b095acfbb87cf5760bfaf1bbd300a609d6941a6861bcc68a7
- 36e3c83e50a19ad1048dab7814f3922631990578aab0790401bc67dbcc90a72e
- 3bc0340007f3a9831cb35766f2eb42de81d13aeb99b3a8c07dee0bb8b000cb96
- 416474b42b86079b8bf4071caaca4875a29ff357f8f05bf85ebdc23cf19d6bc0
- 4e9545f24a45431cdb10934b6df256f95c08103d9307eebaeea6cafef2488071
- 50edef3388c7764610d86356b90ba9ebda87c4b6ce45d29987d0c45c8e8d1bb9
- 571af182ae02fe3d7ae01206d618ef142129a327badb87bfd73b83bb8ab3b37b
- 5c0a9e6b32b331c2c065716226bab1d33d048f88f36660a8e06e124cceb63eb3
- 5c4aa8b8458413fcc5ab94324f3194d70d655a7e878d370ab42e6e0ce25935eb
- 62ae1907a67e73205bd2c88450d44127fe5aecb1e8ec06c67d537a0e566a3343
- 66160f72ad9521da85a4edd197ce30f12cc38cc2ba53cdfb1017cb99203dba73
- 688301516539c4a5845045f298d804c492454e1f04fca9c85c0af5dd458db3c3
- 6903b00a15eff9b494947896f222bd5b093a63aa1f340815823645fd57bd61de
- 6e07da23603fbe5b26755df5b8fec19cadf1f7001b1558ea4f12e20271263417
- 710ca26365127af494da888f617cbdef30d6622e2f82d011f15959596f8c4fe9
- 7114288232e469ff368418005049cf9653fe5c1cdcfcd63d668c558b0a3470f2
- 73237b5c37b9625b0b26d6f4d476a619dfa78d9bc3959b48c7a77302d40093c1
- 7d67c8711b4cad0f585604ff3f9f8f40359e4f8e1524e152f50159b0f56d0952
- 8bdacea1a0262169d0af33bd4de489db81bd6dad49b052f84b9466e3238555ac
- 99dac6e8f48a07273a6719caeda1190ba7b16469ce722bd298dc9e5367bdd8b4
- 9ac550187c7c27a52c80e1c61def1d3d5e6dbae0e4eaeacf1a493908ffd3ec7d
- 9ee3030ae659cdb3405aaf7a8aca223698667d26c4753a890ac0f39c3b2af46d
- a26f0a2da63a838161a7d335aaa5e4b314a232acc15dcabdb6f6dbec63cda642
- a5925db043e3142e31f21bc18549eb7df289d7c938d56dffe3f5905af11ab97a
- a864282fea5a536510ae86c77ce46f7827687783628e4f2ceb5bf2c41b8cd3c6
- abaa2cc0895b34d3a3e0872a4a7a63d49de8ae654c4db961918d10a5163d186f
- afd0698d3d4c01bcb94d45e23e36db28753da5f1167543b431475ef5fbc36bfc
- afe398e95a75beb4b0508c1bbf7268e8607d03776af0b68386d1e2058b374501
- b2f5b352f2fd517237b0f95bc96d5033f8bad3f8f6d8ac2aea24fa053cccf0cd
- b31fbb61443ebb34d25eb109074e17e5be3f50d9fd265566dee37851ce6be512
- b465639dc9436433ce8a28f29b8681c2f966dd0c690d0159261476cc499ed448
- be3561689979044aaafb611e82af64a9571b9af3e8afd7c710178cf611d11a2f
- c7ed7ee3e15bb74f5e91b6b2bc677cf8e24433aeeaf976f67668f2d1cd6e901e
- d5d55ab3e29faa76ec513f9b32112cf4dff67f8911786a2916d6b951150cd722
- da8de7257c6897d2220cdf9d4755b15aeb38715807e3665716d2ee761c266fdb
- def3fe8d07d5370ac6e105b1a7872c77e193b4b39a6e1cc9cfc815a36e909904
- eb82946fa0de261e92f8f60aa878c9fef9ebb34fdababa66995403b110118b12
- Ebffc9ced2dba66db9aae02c7ccd2759a36c5167df5cd4adb151b20e7eab173c
- ec089cdd699fafbeb3cfd7dc68ac16f556c3456c7f7a57984030ae8975d8267f
- f6663774f9e46cb408c6865f725b27dcb314efbf5c9f3191484caeed32ead66f
