醫療網際網路服務敏感資料洩露風險調查報告
一、概要
隨著網際網路、大資料、雲端計算技術的快速發展，我國醫療機構的資訊化程度越來越高，逐步向數字化醫療、智慧醫療發展。新型技術的使用必然會帶來新的安全風險。此外，醫療資料的高價值特性，吸引大量攻擊者嘗試通過竊取、買賣醫療敏感資料牟取暴利。據悉，醫療敏感資料在暗網中的交易價格可達信用卡資料的10倍。
騰訊智慧安全以安全大資料及第三方授權或公開的資訊和資料為基礎，抽樣分析了國內具有一定影響力的線上醫療服務平臺的業務情況，並結合網路安全威脅情報、黑灰產業鏈等情報資訊，對國內醫療資料洩露風險做了綜合性的評估。
評估發現國內線上醫療服務平臺存在的業務安全風險比較突出，可能會導致大量敏感的醫療資料洩露，主要問題如下：
1.線上醫療服務平臺普遍存在多種邏輯漏洞，可能導致患者身份、就診資訊等敏感資料洩露。
2.醫療網際網路資產敏感埠開放較多，核心業務資產直接對外暴露，存在被入侵、攻擊的風險。
二、線上醫療服務總體情況
隨著我國網際網路+醫療的發展，國內越來越多的醫院通過手機APP、網站、第三方醫療服務平臺等形式提供了網上預約掛號、網上繳費、網上查詢報告等多項線上醫療服務。
我們調查發現，近87%的醫院提供了較成熟的線上醫療服務。其中超過 60% 的醫院的線上醫療服務由第三方醫療平臺提供。而第三方醫療服務平臺會同時為多家醫院提供線上掛號預約、體檢預約以及醫生諮詢等服務。
提供線上醫療服務的醫院分佈情況
三、線上醫療服務面臨資料洩露風險
醫療業務系統存在的業務漏洞、敏感埠開放等安全問題，會給未授權訪問和黑客入侵滲透帶來極大的便利，從而增加醫療資料的安全風險。
從美國醫療資料洩露的來源可以看出，除了內部人員竊取/丟失資料等內因外，更多的是來自外部的黑客滲透入侵、未授權訪問/介面暴露等網路攻擊威脅。
近年來， 由黑客滲透入侵導致的資料洩露事件 增速越來越快，已經躍升為第一因素；
由於 伺服器配置不當、漏洞等因素 造成的未授權訪問問題也呈增速發展；
內部人員竊取或丟失資料造成的資料洩露問題，近幾年來逐漸減少。
美國醫療資料洩露來源
3.1 線上醫療服務存在邏輯漏洞，可導致資料洩露
第三方醫療服務等線上醫療服務平臺在為患者看病就診帶來便利的同時，也給攻擊者提供了新的攻擊入口，帶來了更多的安全風險。
第三方醫療服務平臺往往會在同一個平臺或者同一個程式碼框架下，彙集眾多醫療機構的資源，以便於為多家醫院提供線上掛號預約、體檢預約以及醫生諮詢等服務，一旦有平臺出現嚴重的資訊洩露等漏洞就會影響平臺上所有醫院。
另外由於第三方醫療服務平臺服務商對安全的重視程度及條件的限制，使得第三方醫療服務平臺出現資訊洩露等安全漏洞的機率增大。
騰訊智慧安全發現，國內多家三甲醫院接入的第三方醫療服務平臺存在嚴重邏輯漏洞，這些漏洞可導致平臺就診患者資訊洩露，具體包括如下型別：
1.個人身份資訊：姓名、手機號、身份證號、家庭住址、網路ID。
2.就診資訊和醫療診斷資料：掛號記錄、檢查檢驗報告、住院記錄、體檢報告、繳費記錄等。
三甲醫院線上服務資訊洩露漏洞分佈（國內抽樣資料）
今年7月，騰訊安全團隊在日常守護全網使用者資訊保安工作過程中，發現某健康醫療平臺存在多個漏洞。包括登入繞過、未授權訪問、平行越權等嚴重漏洞，攻擊者僅通過手機號就可以獲取到患者的姓名、身份證，就診卡資訊、掛號記錄、化驗檢驗報告單以及其他個人健康生理和醫療資訊。
某第三方健康醫療平臺越權訪問演示圖
根據騰訊智慧安全御見威脅情報中心分析發現，該第三方平臺的資料洩露問題涉及到全國多個省市數百家大型三甲醫院（如下圖所示），大量患者的個人身份資訊和醫療就診資訊存在洩露風險，如果被黑客攻擊、利用，則後果不堪設想。
某第三方健康醫療平臺數據洩露漏洞影響情況
在騰訊智慧安全的協助下該平臺的漏洞已得到妥善修復。但此類問題普遍存在，應當引起重視。
3.2 大量敏感埠開放提供攻擊入口
網路裝置的敏感埠和服務直接暴露在網際網路上，會降低黑客入侵以及未授權訪問的技術門檻，從而增加資料洩露風險，或將導致嚴重的資料洩露危機。
基於對網際網路資產的探測分析，騰訊智慧安全發現71%的三甲醫院存在高危埠開放情況，如下圖所示。
全國醫療行業高危埠開放情況
以最近幾年黑客攻擊事件中出現頻率較高的高危埠為參照：
超過1/3的醫院將SSH登入、SQL/">MySQL資料庫服務等埠直接開放於外網，這些埠的開放，為黑客入侵醫療機構系統提供了便利。
資料庫系統的直接暴露還會增加勒索攻擊的風險，危及醫療業務的連續性，資料庫攻擊者，除了竊取資料資訊（拖庫）之外，還可能針對資料庫的資料實施經濟勒索攻擊。攻擊者先將資料庫進行備份，然後利用遠端命令刪除資料庫從而實施勒索。
開放高危埠的醫院比例
四、應對方案及建議
針對本報告中發現的安全問題及可能帶來的業務安全風險，騰訊智慧安全建議相關醫療機構高度重視資料安全問題，切實保護廣大患者的敏感資訊，慎重儲存和使用醫療敏感資料。同時加強在醫療資訊保安領域的投入、建立系統化的安全保障體系，從事件的被動應急響應提升為安全風險的主動感知，從而提升安全管理能力。
首先針對已知的安全問題，對線上服務進行自查或由第三方安全機構進行協助排查修復；
加強醫療服務平臺的上游服務商或團隊的要求和稽核，保證相關服務的安全性和可靠性；
選擇專業的醫療安全解決方案，建設安全防禦體系，建立對包括第三方醫療服務在內的廠商、平臺持續監控、安全評估機制，主動發現潛在安全風險，防患於未然；
建立面向行業的應急響應協同機制，及時預警聯防共治，攜手應對網路安全風險。
*本文作者：騰訊電腦管家，轉載請註明來自FreeBuf.COM