Как современные атаки на идентификационные данные нацелены на сферу здравоохранения?
Атаки на идентификационные данные в здравоохранении — это кибератаки, использующие скомпрометированные учетные данные пользователей, файлы cookie сеансов, токены API или нечеловеческих агентов ИИ для получения несанкционированного доступа к электронным медицинским картам (EHR), системам обработки претензий и медицинским сетям. В отличие от традиционных периферийных взломов, современные атаки на идентификационные данные используют фишинг с участием посредника (AitM), перехват сеансов, подстановку учетных данных и инъекции промптов против нечеловеческих идентификаторов для обхода традиционной многофакторной аутентификации (MFA).
Что такое безопасность идентификационных данных в здравоохранении?
Безопасность идентификационных данных в здравоохранении — это практика защиты учетных данных, сеансов и прав доступа клиницистов, сотрудников, пациентов и растущего числа агентов ИИ, которые имеют дело с электронными медицинскими картами (EHR), системами претензий и платформами телемедицины. По мере того как системы здравоохранения, плательщики и компании, занимающиеся науками о жизни, спешат модернизировать предоставление медицинской помощи, злоумышленники обнаружили, что самый быстрый путь внутрь — это не брандмауэр больницы, а украденный логин.
В среде с приоритетом облачных технологий и насыщенной SaaS статические периметры не существуют. Идентификационные данные — это общая нить, связывающая клиницистов, пациентов, административный персонал, подключенные устройства и автоматизированные агенты, которые теперь встроены в рабочие процессы планирования, выставления счетов и клинические рабочие процессы. Злоумышленники соответствующим образом изменили свою тактику: вместо прямого взлома больничных сетей они просто входят в систему.
Масштаб угрозы
В 2025 году организации здравоохранения сообщили о 772 крупных утечках данных в Управление по гражданским правам Министерства здравоохранения и социальных служб США, в результате которых было скомпрометировано около 138,5 миллиона записей пациентов, причем на долю взломов или инцидентов в сфере ИТ пришлось более 80% из них, согласно HIPAA Journal. В то же время генеративный ИИ снизил стоимость проведения убедительных персонализированных фишинговых кампаний, а автономные агенты ИИ, действующие как нечеловеческие идентификаторы внутри клинических и административных систем, создали совершенно новую поверхность атаки.
Вот как развиваются современные атаки на идентификационные данные в здравоохранении в рамках четырех различных фаз и что на самом деле требуется для защиты идентификационных данных медицинского уровня:
- Разведка и инфильтрация: использование украденных учетных данных и подстановка учетных данных для получения первоначального доступа
- Использование ИИ и доступа машин: нацеливание на токены служб, ключи API и автономных агентов ИИ
- Перехват активных сеансов: кража файлов cookie активных сеансов для обхода многофакторной аутентификации
- Внутренние угрозы: преодоление случайного раскрытия данных, скомпрометированных устройств и злонамеренного использования легитимного доступа
Как злоумышленники осуществляют разведку и инфильтрацию идентификационных данных в здравоохранении?
Устаревшие атаки на здравоохранение опирались на общие фишинговые электронные письма и попытки входа в систему методом перебора. Сегодня злоумышленники используют ИИ для проведения гиперцелевых автоматизированных кампаний против людей, у которых есть ключи к данным пациентов: сотрудников стойки регистрации и планирования, команд по управлению циклом доходов и выставлению счетов, а также клиницистов, которые быстро перемещаются между пациентами и системами.
Приманки, сгенерированные ИИ
Там, где традиционные спам-фильтры улавливали плохую грамматику или общие темы писем, злоумышленники теперь используют агентов ИИ для сканирования каталогов персонала, списков участников конференций поставщиков EHR и публичных профессиональных профилей для создания убедительных, специфичных для ролей приманок — электронной почты «доступа к порталу», которая выглядит так, будто она поступила от собственной ИТ-службы поддержки системы здравоохранения, или поддельного запроса на предварительное одобрение, имитирующего формат плательщика.
Прокси с участием посредника (AitM)
Злоумышленники все чаще развертывают прокси-серверы с участием посредника (AitM) для захвата как первичных учетных данных клинициста, так и его токена MFA в реальном времени за одно взаимодействие, предоставляя им активный сеанс, а не просто пароль.
Подстановка учетных данных через жилые прокси
Атаки методом перебора и подстановки учетных данных масштабировались аналогичным образом. Злоумышленники агрегируют базы скомпрометированных данных, собранные с помощью вредоносного ПО-инфостилера, и направляют попытки входа в систему через ротируемые жилые прокси, проверяя повторно используемые пароли на порталах пациентов, в системах планирования и на страницах входа плательщиков без превышения ограничений частоты запросов. Поскольку так много клиницистов и сотрудников повторно используют учетные данные для личных и рабочих учетных записей, один скомпрометированный пароль от несвязанной утечки может стать точкой входа в EHR больницы.
Согласно Verizon 2025 Data Breach Investigations Report, скомпрометированные учетные данные остаются вектором первоначального доступа в 22% подтвержденных утечек данных по всей отрасли. Внедрение MFA, специфичное для здравоохранения, имеет тенденцию отставать от других регулируемых отраслей: в Отчете Okta о тенденциях безопасного входа за 2025 год отмечается, что даже несмотря на то, что общее внедрение MFA среди сотрудников достигло 70% во всех отраслях, 30% корпоративных пользователей по-прежнему не имеют никакой защиты MFA, а базовые факторы остаются крайне уязвимыми к бомбардировке MFA и перехвату AitM.
Скачать: 5 атак на идентификационные данные, использующих вашу неисправную аутентификацию
Как злоумышленники используют ИИ и нечеловеческие идентификаторы в EHR?
Традиционная модель угроз предполагала, что за каждым удостоверением личности стоит человек. В здравоохранении это предположение в настоящее время опасно устарело. Медицинские писцы с поддержкой ИИ, документирующие визиты пациентов, агенты поддержки клинических решений, а также автоматизированные боты для предварительного одобрения и обработки претензий стремительно распространяются, и большинство из них наделены широким постоянным доступом к EHR, базам данных претензий и системам планирования, чтобы они могли действовать, не дожидаясь участия человека.
Это удобство — именно то, что злоумышленники учатся использовать. Вместо того чтобы нацеливаться на пароль медсестры или специалиста по урегулированию претензий, злоумышленники охотятся за ключами API, служебными токенами и разрешениями OAuth, выданными этим агентам. Если злоумышленник перехватывает базовый токен службы или манипулирует агентом посредством инъекции промпта, агент выполняет вредоносные действия (такие как извлечение записей пациентов, изменение данных претензий или массовое перепланирование и отмена встреч) с полной авторизацией своей системной роли и на машинной скорости. То, на что у человеческого хакера ушли бы дни ручной работы, скомпрометированный агент может сделать за секунды.
Пробел в управлении
В отчете Okta «Компании на работе 2026» отмечается, что, хотя 58% руководителей называют управление ИИ своей главной заботой в области безопасности, менее трети защищают агентов ИИ с той же строгостью, которая применяется к сотрудникам-людям. Этот пробел особенно опасен в отрасли, где один скомпрометированный агент обработки претензий или планирования может за секунды коснуться миллионов записей пациентов.
Как злоумышленники перехватывают активные клинические сеансы и обходят MFA?
По мере роста внедрения более надежной MFA злоумышленники адаптировались, нацелившись на сеансы после аутентификации, а не на экран входа в систему.
Кража файлов cookie сеансов
Используя вредоносное ПО для кражи файлов cookie активных сеансов с рабочих станций клиницистов, общих устройств на посту медсестер или удаленных точек доступа и телемедицины, злоумышленники могут воспроизвести активный сеанс и полностью обойти MFA — без необходимости ввода пароля или ключа безопасности. Перехваченный сеанс телемедицины или активный сеанс портала пациента предоставляет злоумышленнику тот же доступ, что и у легитимного клинициста или пациента, без срабатывания предупреждения о входе в систему.
Боковое перемещение между поставщиками и сетями
Оказавшись внутри, злоумышленники пользуются именно тем фрагментированным и разобщенным характером среды, которым славятся ИТ-инфраструктуры в сфере здравоохранения. Медицинская организация может внедрить строгую политику входа в систему на уровне EHR или основного поставщика учетных данных, но как только сеанс установлен в одном подключенном приложении, злоумышленники могут перемещаться в латеральном направлении через сети направлений, интеграции лабораторий и систем визуализации, а также сторонних поставщиков услуг биллинга или планирования.
Показатели сторонних рисков и пробелы в оценке
Эта последняя категория стала наиболее быстро растущим сегментом поверхности атаки в здравоохранении. Атак программ-вымогателей на медицинские компании — биллинговые компании, платформы медицинских технологий и сервисных партнеров (в отличие от самих больниц и клиник) — выросли на 51% в 2025 году, даже несмотря на то, что атаки на провайдеров непосредственного ухода снизились на 8%, согласно данным Comparitech, о которых сообщает Industrial Cyber. Два крупнейших нарушения безопасности в сфере здравоохранения в 2025 году — Conduent Business Services (62,2 миллиона человек) и Episource (6,7 миллиона человек) — произошли у бизнес-партнера, а не в медицинской системе, пациенты которой пострадали. Тем не менее, только 4% организаций здравоохранения сообщают о высокой уверенности в своих оценках рисков поставщиков, и почти 30% сообщают об отсутствии какой-либо уверенности вообще, согласно данным Cybersecurity Dive. Злоумышленники знают, что один скомпрометированный биллинговый партнер или поставщик услуг планирования может стать входом сразу в десятки связанных систем здравоохранения и плательщиков.
Каковы формы угроз со стороны внутренних учетных записей в системах здравоохранения?
Не каждая атака на учетные записи в здравоохранении исходит извне организации. Внутренние риски в здравоохранении охватывают три различные категории:
Небрежные инсайдеры
Многие атаки на учетные записи начинаются с небрежных инсайдеров — клиницистов и сотрудников, которые вызывают инциденты из-за непреднамеренных ошибок, таких как вставка информации о пациенте в нерегулируемый потребительский инструмент ИИ для быстрого создания резюме, игнорирование исправления безопасности на клиническом рабочем месте или неправильная настройка разрешений на совместное использование папки с файлами кейсов.
Скомпрометированные инсайдеры
Скомпрометированный инсайдер — это легитимный член персонала, устройство которого было незаметно заражено вредоносным ПО для кражи данных, превращая доверенный вход в EHR в непреднамеренный прокси для внешнего злоумышленника.
Злонамеренные инсайдеры
Злонамеренный инсайдер — это сотрудник или подрядчик, который намеренно злоупотребляет постоянным доступом: просматривает медицинские карты пациентов без клинических оснований, эксфильтрирует исследовательские данные или открыто продает доступ к информации о пациентах. Этот шаблон, часто описываемый как кража медицинской личной информации, остается одним из самых устойчивых и трудно обнаруживаемых рисков в здравоохранении именно потому, что доступ, которым злоупотребляют, является легитимным.
Организации медико-биологических наук сталкиваются с параллельной версией этого риска: скомпрометированный или небрежный инсайдер с доступом к системам клинических испытаний может с таким же успехом нарушить целостность данных испытаний, как и раскрыть записи пациентов, с регуляторными последствиями, которые выходят далеко за рамки одного уведомления об утечке. Без непрерывной оценки рисков и детального управления доступом стандартные инструменты безопасности не могут отличить клинициста, выполняющего свою работу, от инсайдера, злоупотребляющего легитимным доступом.
Ключевые требования к современной системе защиты учетных записей в здравоохранении
Чтобы противостоять атакам на учетные записи со скоростью ИИ, архитектуры безопасности в здравоохранении должны выйти за рамки простой проверки периметра при входе в систему. Современная стратегия защиты учетных записей в здравоохранении опирается на четыре основных принципа:
- Аутентификация, устойчивая к фишингу, по умолчанию: переведите клиницистов, персонал и администраторов на методы, которые сложнее перехватить, чем SMS-коды или базовые push-уведомления. Беспарольная аутентификация проверяет как устройство пользователя, так и точный домен веб-сайта перед предоставлением доступа, предотвращая AitM-фишинг без добавления лишних сложностей в клинические рабочие процессы.
- Расширение управления на нечеловеческие и ИИ-идентичности: применяйте ту же строгость к ИИ-ассистентам, клиническим агентам и ботам для обработки претензий, что и к человеческому персоналу: доступ с наименьшими привилегиями, ограниченный конкретной задачей, недолговечные учетные данные вместо постоянных разрешений и шлюзы одобрения человеком для действий с высоким риском, таких как массовый доступ к записям или изменение претензий.
- Непрерывный мониторинг сеансов и обмен сигналами риска: оценивайте риск до, во время и после аутентификации — для каждого сеанса, а не только для события входа в систему. Это позволяет автоматически завершать сеанс или запрашивать повторную верификацию при внезапном изменении местоположения, невозможном паттерне перемещения или появлении сигнала вредоносного ПО, независимо от того, принадлежит ли сеанс клиницисту, пациенту или ИИ-агенту.
- Единое управление доступом, управление идентификацией и привилегированным доступом: устраните «слепые зоны», создаваемые управлением общим доступом, правами на EHR и претензии, а также административными правами в отдельных системах. Замена постоянного административного доступа временным повышением прав по мере необходимости означает, что одна украденная учетная запись — от клинициста, поставщика или агента — не может стать причиной компрометации всей системы.
Превратите идентификацию в вашу самую надежную защиту
Защита конфиденциальных данных пациентов и предотвращение утечек учетных записей требуют единой основы безопасности. От оптимизации доступа клиницистов до защиты охраняемой медицинской информации — управление идентификацией лежит в основе современной безопасности здравоохранения.
Готовы защитить каждую учетную запись во всей вашей экосистеме ухода без ущерба для клинических рабочих процессов? Загрузите технический документ «Почему Okta для здравоохранения», чтобы узнать, как Okta помогает организациям здравоохранения укреплять безопасность идентификации, упрощать доступ и поддерживать соответствие требованиям HIPAA.
Эти материалы предназначены только для общих информационных целей и не являются юридическими, конфиденциальными, охватывающими безопасность, соответствие нормативным требованиям или деловыми консультациями. © 2026 Okta, Inc. и/или ее филиалы.
