A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

डिजिटल दुनिया की कल्पना एक विशाल, हलचल भरे शहर के रूप में करें जहाँ हर इमारत अलग तरह के व्यवसाय है। कुछ इमारतें खिलौने बेचती हैं, कुछ कपड़े, लेकिन इस शहर में एक विशेष मोहल्ला सबसे मूल्यवान रियल एस्टेट वाला है: अस्पताल जिला। क्यों? क्योंकि इन इमारतों के भीतर, लोग जीवन बचाने वाले रहस्य (जैसे मेडिकल रिकॉर्ड) रख रहे हैं और ऐसी मशीनें चला रहे हैं जो वास्तव में लोगों को जीवित रखती हैं। यदि कोई चोर खिलौनों की दुकान में घुस जाता है, तो वह कुछ एक्शन फिगर्स चुरा सकता है। लेकिन यदि वह अस्पताल में घुस जाता है, तो वह पूरे मोहल्ले को बंधक बना सकता है, लाइट वापस चालू करने के लिए फिरौती मांग सकता है, या वह ब्लैक मार्केट में बेचने के लिए रहस्य चुरा सकता है। इसी कारण से, "चोर" (साइबर अपराधी) सालों से अंदर घुसने की कोशिश कर रहे हैं, लेकिन अब वे केवल लोहे की छड़ों (crowbars) का उपयोग नहीं कर रहे हैं। उन्होंने अदृश्य चोगे पहनना सीख लिया है।

इन चोरों को ट्रैक करने के लिए, सुरक्षा विशेषज्ञ एक विशाल, जीवित मानचित्र का उपयोग करते हैं जिसे MITRE ATT&CK कहा जाता है। इस मानचित्र को केवल तालों की सूची के रूप में नहीं, बल्कि चालों (moves) के एक कैटलॉग के रूप में समझें। यह केवल यह नहीं कहता कि "उन्होंने खिड़की तोड़ दी"; यह कहता है कि "उन्होंने एक लोहे की छड़ का उपयोग किया," "उन्होंने ताला खोला," या "वे सामने के दरवाजे से अंदर आए क्योंकि मालिक ने उसे खुला छोड़ दिया था।" यह मानचित्र रक्षकों को यह जानने में मदद करता है कि उन्हें किन तरकीबों पर नज़र रखनी चाहिए। दूसरा उपकरण CISA Known Exploited Vulnerabilities (KEV) सूची है। यदि ATT&CK मानचित्र चालों का कैटलॉग है, तो KEV सूची "मोस्ट वांटेड" बुलेटिन बोर्ड है। यह केवल उन विशिष्ट टूटे हुए तालों और खुली खिड़कियों को सूचीबद्ध करता है जिनका चोरों ने हाल ही में अंदर घुसने के लिए वास्तव में उपयोग किया है, उन सभी सैद्धांतिक छेदों को अनदेखा करते हुए जिन्हें अभी तक किसी ने छुआ भी नहीं है। बड़ा सवाल जो शोधकर्ता पूछ रहे हैं, वह यह है: "क्या सुरक्षा गार्ड सही दरवाजों की निगरानी कर रहे हैं?"

यह शोध पत्र इस सवाल का जवाब देने के लिए अस्पतालों में पिछले एक दशक की डिजिटल चोरी का गहरा विश्लेषण करता है। शोधकर्ताओं ने डिजिटल जासूसों की तरह काम किया, 2017 से 2024 तक 1,214 "अपराध रिपोर्टों" का एक विशाल संग्रह एकत्र किया। उन्होंने हमलावरों के 44 अलग-अलग समूहों को देखा, जिनमें संगठित अपराध गिरोहों से लेकर राष्ट्र-राज्य के जासूसों तक शामिल थे, और ट्रैक किया कि उन्होंने वास्तव में कौन सी चालें चलीं। उन्होंने जो पाया वह एक रोमांचक मोड़ (plot twist) है। लंबे समय तक, सुरक्षा गार्डों को "शोर वाले" मूव्स के लिए प्रशिक्षित किया गया था: वे जहाँ एक चोर खिड़की तोड़ देता है (प्रारंभिक पहुंच/Initial Access) या कालीन के नीचे एक गुप्त नोट छिपा देता है (स्थिरता/Persistence)। लेकिन यह पत्र दिखाता है कि चोरों ने अपनी शैली बदल ली है। अब वे "शांत" चालों के उस्ताद बन गए हैं। अंदर घुसकर छिपने के बजाय, वे मालिक की अपनी चाबियों का उपयोग कर रहे हैं और सीधे सामने के दरवाजे से अंदर आ रहे हैं, सामान्य भीड़ में घुलमिल जा रहे हैं।

अध्ययन से पता चलता है कि आज इन हमलावरों द्वारा उपयोग की जाने वाली सबसे आम चाल डिफेंस इवेजन (Defense Evasion) है, जो हर साल उनके सभी कार्यों का लगभग 15% से 20% हिस्सा है। यह अदृश्य रहने की कला है। इसके विपरीत, पुराने जमाने की चालें जैसे "अटारी में छिपना" (Persistence) और "सामने का दरवाजा तोड़ना" (Initial Access), 2017-2024 की अवधि के दौरान डेटा वितरण में काफी कम हो गई हैं, जो दो अंकों के प्रतिशत से घटकर देखी गई तकनीक के उपयोग में शून्य तक पहुँच गई हैं। इसका मतलब यह नहीं है कि ये रणनीतियाँ विलुप्त हो गई हैं या कभी उपयोग नहीं की जातीं, बल्कि यह है कि वे अब अधिक गुप्त तरीकों के उदय की तुलना में डेटा में प्राथमिक रणनीतियों के रूप में नहीं दिखाई देती हैं। हमलावरों ने महसूस किया है कि यदि वे वैध उपकरणों का उपयोग करते हैं जो अस्पताल के पास पहले से ही हैं—जैसे कंप्यूटर का अपना कमांड सेंटर या कर्मचारियों के वैध लॉगिन बैज—तो वे कोई पदचिह्न नहीं छोड़ते हैं। यह एक ऐसे चोर की तरह है जो ताला नहीं तोड़ता, बल्कि मालिक के दरवाजा खोलने का इंतजार करता है, फिर अंदर आता है और ऐसा व्यवहार करता है जैसे वह वहीं का हिस्सा हो।

यहाँ डरावनी बात यह है: सुरक्षा गार्ड अभी भी पदचिह्नों की तलाश कर रहे हैं। पेपर ने एक "स्ट्रक्चरल इन्वर्जन" (संरचनात्मक उलटाव) पाया है, जिसका अर्थ है कि सुरक्षा सलाह ठीक वहीं सबसे मजबूत है जहाँ चोर सबसे कम सक्रिय हैं, और सबसे कमजोर है जहाँ चोर सबसे अधिक सक्रिय हैं। गार्डों ने अपराध के अंत में होने वाली शोर भरी, अव्यवस्थित घुसपैठ को पकड़ने के लिए अद्भुत सेंसर बनाए हैं, लेकिन उनके पास बिल्कुल भी सेंसर नहीं हैं जो अपराध की शुरुआत में होने वाली शांत, अदृश्य चालों को पकड़ सकें। शोधकर्ताओं ने 42 विशिष्ट "चालों" की पहचान की है जो अभी हो रही हैं लेकिन जिन पर बहुत कम नज़र रखी जा रही है। ये वे शीर्ष प्राथमिकताएं हैं जिन्हें अस्पतालों को तुरंत ठीक करने की आवश्यकता है।

यहाँ तक कि अधिक दिलचस्प बात यह है, पेपर दिखाता है कि यह अब केवल पुराने कंप्यूटरों के बारे में नहीं है। अस्पताल डॉक्टरों को मरीजों का निदान करने में मदद करने के लिए आर्टिफिशियल इंटेलिजेंस (AI) का उपयोग करना शुरू कर रहे हैं। शोधकर्ताओं ने पाया कि वही "शांत" चालें जो चोर नियमित कंप्यूटरों पर उपयोग करते हैं, इन नए AI सिस्टम पर भी पूरी तरह से काम करती हैं। एक चोर को AI में घुसने के लिए नया तरीका सीखने की आवश्यकता नहीं है; वे बस उन्हीं पुरानी चालों का उपयोग करते हैं जो वे वर्षों से उपयोग कर रहे हैं। पेपर निष्कर्ष निकालता है कि हमें सुरक्षा इस आधार पर बनाना बंद करना होगा कि चोरों ने पहले क्या किया था, और इसे इस आधार पर बनाना होगा कि वे अब क्या कर रहे हैं: सामने के दरवाजे से अंदर आना, वर्दी पहनना, और यह उम्मीद करना कि कोई ध्यान नहीं देगा कि वे वहां नहीं होने चाहिए। अच्छी खबर यह है कि पेपर ब्लॉक करने के लिए 42 चालों की एक स्पष्ट "टू-डू लिस्ट" प्रदान करता है, और उन 42 में से 12 तकनीकों के लिए, सुरक्षा उपकरण पहले से ही मौजूद हैं और उन्हें अभी मुफ्त में चालू किया जा सकता है।