В 2025 году сектор здравоохранения столкнулся с беспрецедентной волной атак с использованием программ-вымогателей (ransomware, вредоносное ПО для блокировки данных с требованием выкупа), которые поставили под угрозу не только конфиденциальность пациентов, но и непрерывность оказания медицинской помощи. По данным экспертов по кибербезопасности, более 50 подтвержденных инцидентов было зафиксировано только в США, в результате чего скомпрометированными оказались свыше 3,2 миллионов записей пациентов. Это подчеркивает растущую изощренность киберпреступников и уязвимость критически важной инфраструктуры.
Описание
Атаки были направлены на больницы, клиники и поставщиков медицинских услуг, что привело к операционным сбоям, краже данных и реальному физическому ущербу для пациентов. В наиболее тяжелых случаях последствия включали отмену процедур, перенаправление машин скорой помощи и, как минимум, один случай с летальным исходом в Великобритании, что демонстрирует прямую связь между киберпреступностью и угрозой для жизни людей.
Среди наиболее резонансных инцидентов - атака на Frederick Health в январе, затронувшая более 934 тысяч человек и вызвавшая перебои в работе служб скорой помощи. В мае группа Killsec атаковала Ocuco Inc., скомпрометировав данные 241 тысячи пациентов, а RansomHub нацелился на Неврологический институт Саванны, затронув 33 тысячи человек. Июнь стал месяцем масштабных атак: INC атаковал McLaren Health Care (743 тысячи пострадавших) и Kettering Health, что вызвало системные сбои и отмену медицинских процедур. Episource столкнулся с утечкой данных 5,4 миллионов пациентов.
Летом атаки продолжились: INTERLOCK атаковал Gastroenterology Consultants of South Texas (45 тысяч записей) и DaVita в августе, где было скомпрометировано 2,7 миллионов записей, включая номера социального страхования, истории болезней и изображения чеков. Общие затраты на ликвидацию последствий атаки на DaVita оцениваются в 13,5 миллионов долларов США.
Особенностью атак 2025 года стало использование программ-вымогателей, написанных на кроссплатформенных языках, таких как Golang, что расширяет их охват. Отмечается, что в отчетах отсутствуют упоминания об использовании уязвимостей из базы CVE (Common Vulnerabilities and Exposures), что указывает на reliance (опору) злоумышленников на методы социальной инженерии и слабости цепочек поставок.
Среди наиболее активных семейств программ-вымогателей, отслеживаемых PolySwarm, выделяются INC, впервые обнаруженный в январе 2025 года и атаковавший более 30 медицинских организаций в первой половине года. RansomHouse, написанный на Golang, перешел от модели шантажа данными к шифрованию в 2025 году, атаковав как минимум пять медицинских учреждений. Qilin, использующий Golang и Rust, атаковал 25 целей, включая японскую клинику Utsunomiya Central Clinic, требуя выкуп до 5 миллионов долларов.
Akira, написанный на C++ и Rust, атаковал 70 медицинских целей, включая Tietoevry в Швеции и Prospect Medical Holdings, нарушив работу 16 больниц. Embargo, ребрендинг BlackCat, атаковал Memorial Hospital и Weiser Memorial Hospital, потребовав 1,3 миллиона долларов. INTERLOCK, эволюционировавший из Chaya_002, использовал drive-by downloads для доставки RAT (Remote Access Trojan, троянец удаленного доступа) и атаковал 14 медицинских учреждений.
BrainCipher, вариант LockBit 3.0, эксплуатировал уязвимость CVE-2023-28252 и вызвал сбои в работе Delta County Memorial Hospital. Rhysida атаковала королевскую больницу King Edward VII’s Hospital в Великобритании. RansomHub, ребрендинг Knight, скомпрометировал 100 миллионов записей в атаке на Change Healthcare. Наконец, Warlock, новая услуга RaaS (Ransomware-as-a-Service, вредоносное ПО-как-услуга), связанная с китайским актором Storm-2603, использовала уязвимости нулевого дня в Microsoft SharePoint и атаковала как минимум две медицинские организации в августе 2025 года.
Эти атаки демонстрируют необходимость усиления защитных мер в медицинском секторе, включая регулярное обновление ПО, обучение сотрудников, внедрение многофакторной аутентификации и систем мониторинга угроз. Кибербезопасность становится неотъемлемой частью обеспечения непрерывности медицинской помощи и защиты жизни пациентов.
Индикаторы компрометации
