A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

Stel je de digitale wereld voor als een enorme, bruisende stad waar elk gebouw een ander soort bedrijf is. Sommige gebouwen verkopen speelgoed, andere kleding, maar één specifieke buurt is het meest waardevolle vastgoed van de stad: de ziekenhuiswijk. Waarom? Omdat er binnen deze gebouwen mensen levensreddende geheimen bewaren (zoals medische dossiers) en machines draaien die letterlijk mensen in leven houden. Als een inbreker een speelgoedwinkel overvalt, stelen ze misschien wat actiefiguren. Maar als ze een ziekenhuis overvallen, kunnen ze de hele buurt gijzelen en losgeld eisen om de lichten weer aan te zetten, of ze kunnen geheimen stelen om op de zwarte markt te verkopen. Daarom proberen de "inbrekers" (cybercriminelen) al jaren naar binnen te breken, maar ze gebruiken niet langer alleen maar koevoeten. Ze hebben geleerd om onzichtbare mantels te dragen.

Om te begrijpen hoe we deze inbrekers opsporen, gebruiken beveiligingsexperts een enorme, levende kaart genaamd MITRE ATT&CK. Denk aan deze kaart niet als een lijst met sloten, maar als een catalogus van bewegingen. Het zegt niet alleen "ze braken het raam in"; het zegt "ze gebruikten een koevoet", "ze kraakten het slot" of "ze liepen via de voordeur naar binnen omdat de eigenaar de deur openliet". Deze kaart helpt verdedigers te weten welke trucjes ze in de gaten moeten houden. Een ander hulpmiddel is de CISA Known Exploited Vulnerabilities (KEV)-lijst. Als de ATT&CK-kaart de catalogus van bewegingen is, dan is de KEV-lijst het "Gezocht"-mededelingenbord. Het vermeldt alleen de specifieke kapotte sloten en openstaande ramen die inbrekers daadwerkelijk recentelijk hebben gebruikt om binnen te komen, waarbij alle theoretische gaten die nog door niemand zijn aangeraakt worden genegeerd. De grote vraag die onderzoekers zich hebben gesteld is: "Waken de beveiligingsbewakers bij de juiste deuren?"

Dit artikel duikt diep in de digitale inbraken in ziekenhuizen van het afgelopen decennium om die vraag te beantwoorden. De onderzoekers traden op als digitale detectives en verzamelden een enorme collectie van 1.214 "misdaadrapporten" van 2017 tot 2024. Ze keken naar 44 verschillende groepen aanvallers, variërend van georganiseerde criminele bendes tot staatsgestuurde spionnen, en volgden precies welke bewegingen zij gebruikten. Wat ze vonden, is een kleine plotwending. Voor een lange tijd waren de beveiligingsbewakers getraind om te letten op de "luide" bewegingen: de bewegingen waarbij een inbreker een raam inslaat (Initial Access) of een geheim briefje onder een kleed verbergt (Persistence). Maar het artikel laat zien dat de inbrekers hun stijl hebben veranderd. Ze zijn nu meesters in de "stille" beweging. In plaats van in te breken en zich te verstoppen, gebruiken ze de eigen sleutels van de eigenaar en lopen ze zo door de voordeur naar binnen, waarbij ze opgaan in de normale menigte.

De studie onthult dat de meest voorkomende beweging die deze aanvallers vandaag de dag gebruiken, Defense Evasion is, wat verantwoordelijk is voor ongeveer 15% tot 20% van al hun acties elk jaar. Dit is de kunst van het onzichtbaar blijven. In contrast hiermee zijn de "ouderwetse" bewegingen zoals "verstoppen op een zolder" (Persistence) en "de voordeur intrappen" (Initial Access) aanzienlijk afgenomen in hoe vaak ze voorkomen in de datadistributie over de periode 2017–2024, waarbij ze daalden van dubbelcijferige percentages naar nul in het waargenomen gebruik van technieken. Dit betekent niet dat deze tactieken uitgestorven zijn of nooit worden gebruikt, maar eerder dat ze niet langer de primaire tactieken zijn die in de data worden gezien, vergeleken met de opkomst van stealthier methoden. De aanvallers hebben beseft dat als ze legitieme tools gebruiken die het ziekenhuis al heeft — zoals het eigen commandocentrum van de computer of de geldige toegangspasjes van het personeel — ze geen voetsporen achterlaten. Het is als een dief die niet het slot kraakt, maar in plaats daarvan wacht tot de eigenaar de deur opent, om vervolgens gewoon naar binnen te lopen en te doen alsof hij daar hoort.

Dit is het enge deel: de beveiligingsbewakers zoeken nog steeds naar voetsporen. Het artikel vond een "structurele inversie", wat betekent dat het beveiligingsadvies het sterkst is precies daar waar de inbrekers het minst actief zijn, en het zwakst waar de inbrekers het meest actief zijn. De bewakers hebben geweldige sensoren gebouwd om de luide, slordige inbraken aan het einde van een misdaad te vangen, maar ze hebben bijna geen sensoren voor de stille, onzichtbare bewegingen die aan het begin van een misdaad plaatsvinden. De onderzoekers identificeerden 42 specifieke "bewegingen" die nu plaatsvinden maar nauwelijks in de gaten worden gehouden. Dit zijn de hoogste prioriteiten voor ziekenhuizen om onmiddellijk aan te pakken.

Nog interessanter is dat het artikel laat zien dat dit niet meer alleen over oude computers gaat. Ziekenhuizen beginnen AI (kunstmatige intelligentie) te gebruiken om artsen te helpen patiënten te diagnosticeren. De onderzoekers ontdekten dat dezelfde "stille" trucjes die de inbrekers op gewone computers gebruiken, ook perfect werken op deze nieuwe AI-systemen. Een inbreker hoeft geen nieuwe manier te leren om in te breken op een AI; hij gebruikt gewoon dezelfde oude trucs die hij al jarenlang gebruikt. Het artikel concludeert dat we moeten stoppen met beveiliging bouwen op basis van wat inbrekers vroeger deden en moeten beginnen met bouwen voor wat ze nu doen: door de voordeur naar binnen lopen, een uniform dragen en hopen dat niemand merkt dat ze daar niet horen te zijn. Het goede nieuws is dat het artikel een duidelijke "to-do lijst" biedt van 4 ही 42 bewegingen om te blokkeren, en voor 12 van die 42 technieken bestaan de beveiligingsinstrumenten al en kunnen ze nu gratis worden ingeschakeld.