A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

تخيل العالم الرقمي كمدينة ضخمة وصاخبة حيث كل مبنى فيها يمثل نوعاً مختلفاً من الأعمال التجارية. بعض المباني تبيع الألعاب، وأخرى تبيع الملابس، ولكن هناك حيّاً واحداً بعينه يمتلك أغلى العقارات في المدينة: وهو حي المستشفيات. لماذا؟ لأن داخل هذه المباني، يحتفظ الناس بأسرار تنقذ الأرواح (مثل السجلات الطبية) ويديرون آلات تُبقي الناس على قيد الحياة حرفياً. إذا اقتحم لص متجر ألعاب، فقد يسرق بعض الدمى، أما إذا اقتحم مستشفى، فيمكنه احتجاز الحي بأكمله كرهينة، مطالباً بفدية لإعادة تشغيل الأنوار، أو يمكنه سرقة أسرار لبيعها في السوق السوداء. لهذا السبب، يحاول "اللصوص" (مجرمو الإنترنت) الاقتحام منذ سنوات، لكنهم لم يعودوا يستخدمون العتلات والعتل الحديدية فحسب؛ بل تعلموا كيف يرتدون عباءات الإخفاء.

لفهم كيفية تتبع هؤلاء اللصوص، يستخدم خبراء الأمن خريطة حية وعملاقة تسمى MITORE ATT&CK. فكر في هذه الخريطة ليس كمجرد قائمة للأقفال، بل ككتالوج لـ "الحركات". فهي لا تكتفي بالقول "لقد كسر النافذة"، بل تقول "استخدم عتلة"، أو "فتح القفل"، أو "دخل من الباب الأمامي لأن المالك تركه مفتوحاً". تساعد هذه الخريطة المدافعين على معرفة الحيل التي يجب مراقبتها. وهناك أداة أخرى وهي قائمة CISA Known Exploits Vulnerabilities (KEV). إذا كانت خريطة ATT&CK هي كتالوج الحركات، فإن قائمة KEV هي لوحة "المطلوبين للعدالة"؛ فهي لا تسرد سوى الأقفមាន المكسورة والنوافذ المفتوحة التي استخدمها اللصوص بالفعل للدخول مؤخراً، متجاهلةً كل الثغرات النظرية التي لم يلمسها أحد بعد. والسؤال الكبير الذي طرحه الباحثون هو: "هل حراس الأمن يراقبون الأبواب الصحيحة؟"

تتعمق هذه الورقة البحثية في آخر عقد من عمليات الاقتحام الرقمي للمستشفيات للإجابة على هذا السؤال. لقد عمل الباحثون كالمحققين الرقميين، حيث جمعوا مجموعة ضخمة مكونة من 1,214 "تقرير جريمة" من عام 2017 إلى 2024. لقد تتبعوا 44 مجموعة مختلفة من المهاجمين، تتراوح بين عصابات الجريمة المنظمة وجواسيس الدول، وتتبعوا بالضبط الحركات التي استخدموها. وما وجدوه كان بمثابة تحول في الحبكة؛ فلفترة طويلة، تم تدريب حراس الأمن على مراقبة الحركات "الصاخبة": تلك التي يكسر فيها اللص نافذة (الوصول الأولي - Initial Access) أو يخفي ملاحظة سرية تحت السجادة (الاستمرارية - Persistence). لكن الورقة تظهر أن اللصوص قد غيروا أسلوبهم؛ فهم الآن أساتذة في "الحركة الصامتة". فبدلاً من الاقتحام والاختباء، يستخدمون مفاتيح المالك ويمشون مباشرة عبر الباب الأمامي، مندمجين مع الحشد الطبيعي.

تكشف الدراسة أن الحركة الأكثر شيوعاً التي يستخدمها هؤلاء المهاجمون اليوم هي التملص من الدفاع (Defense Evasion)، والتي تشكل حوالي 15% إلى 20% من جميع أفعالهم في كل عام. هذا هو فن البقاء غير مرئي. وفي المقابل، فإن الحركات القديمة مثل "الاختباء في العلية" (الاستمرارية) أو "كسر الباب الأمامي" (الوصول الأولي) قد انخفضت بشكل كبير في كيفية ظهورها في توزيع البيانات خلال الفترة من 2017 إلى 2024، حيث انخفضت من نسب مئوية مزدوجة إلى الصفر في استخدام التقنيات المرصودة. هذا لا يعني أن هذه التكتيكات انقرضت أو لا تُستخدم أبداً، بل يعني أنها لم تعد التكتيكات الأساسية التي تظهر في البيانات مقارنة بصعود الأساليب الأكثر دهاءً. لقد أدرك المهاجمون أنهم إذا استخدموا الأدوات المشروعة التي تمتلكها المستشفى بالفعل — مثل مركز القيادة الخاص بالكمبيوتر أو بطاقات تسجيل الدخول الخاصة بالموظفين — فلن يتركوا أي آثار أقدام. الأمر يشبه لصاً لا يكسر القفل، بل ينتظر حتى يفتح المالك الباب، ثم يدخل ويتصرف وكأنه ينتمي إلى المكان.

إليك الجزء المخيف: حراس الأمن لا يزالون يبحثون عن آثار الأقدام. وجدت الورقة "انعكاساً هيكلياً"، مما يعني أن النصيحة الأمنية تكون في أقوى حالاتها تماماً حيث يكون اللصوص الأقل نشاطاً، وفي أضعف حالاتها حيث يكون اللصوص الأكثر نشاطاً. لقد بنى الحراس مستشعرات مذهلة للإمساك بالاقتحامات الصاخبة والفوضوية في نهاية الجريمة، لكن ليس لديهم مستشعرات تقريباً للحركات الهادئة وغير المرئية التي تحدث في بداية العملية. حدد الباحثون 42 "حركة" محددة تحدث الآن ولكن يتم مراقبتها بالكاد. هذه هي الأولويات القصوى للمستشفيات لإصلاحها فوراً.

والأمر الأكثر إثارة للاهتمام هو أن الورقة تظهر أن هذا لا يتعلق فقط بالحواسيب القديمة؛ فالمستشفيات بدأت تستخدم الذكاء الاصطناعي (AI) لمساعدة الأطباء في تشخيص المرضى. وجد الباحثون أن نفس الحيل "الصامتة" التي يستخدمها اللصوص على الحواسيب العادية تعمل بشكل مثالي على أنظمة الذكاء الاصطناعي الجديدة أيضاً. فاللص لا يحتاج لتعلم طريقة جديدة للاقتحام إلى نظام ذكاء اصطنا_ي؛ بل يستخدم فقط نفس الحيل القديمة التي كان يستخدمها لسنوات. تخلص الورقة إلى ضرورة التوقف عن بناء الأمن بناءً على ما كان يفعله اللصوص، والبدء في بنائه لما يفعلونه الآن: الدخول من الباب الأمامي، وارتداء زي رسمي، والأمل في ألا يلاحظ أحد أنهم ليسوا من المفترض أن يكونوا هناك. الخبر الجيد هو أن الورقة توفر "قائمة مهام" واضحة لـ 42 حركة لمنعها، وبالنسبة لـ 12 من تلك الـ 42 تقنية، فإن الأدوات الأمنية موجودة بالفعل ويمكن تفعيلها الآن مجاناً.