本文首次发表于 《金融时报》。
相关文章：
去年一月，健康保险公司 Anthem 的一名管理员注意到计算机网络上运行着一个异常复杂的查询。看起来像是同事所为，但快速核查后发现，该查询来自别处。
几分钟后， Anthem进入危机模式。调查人员认为，黑客来自中国，并且已在该公司网络内潜伏数月而未被发现。他们通过诱骗一名员工点击一封伪装成内部消息的钓鱼邮件，获得了访问权限。
利用该管理员的凭证，黑客翻查了Anthem的数据库，其中包含自2004年起加入其保险计划的超过7800万人的姓名、社会安全号码和出生日期。
Anthem的泄露事件在医疗行业引发恐慌浪潮。它暴露了客户最敏感、最有价值的个人信息，也揭示出医疗行业在应对日益复杂的 网络犯罪分子 ——以及来自民族国家的威胁——方面准备何等不足。
去年，黑客入侵了超过1亿份健康记录，是以往任何时候的100倍。据美国卫生与公众服务部称，针对任何类型医疗服务提供方的十大入侵事件中，有八起发生在今年。
保险公司纷纷聘请网络安全公司清理其系统。Premera Blue Cross、CareFirst BlueCross BlueShield和Excellus Health Plan宣布，自3月以来，已披露影响至少2200万人的数据泄露事件，其中包括回溯超过一年的入侵。调查人员告诉《金融时报》，他们认为部分入侵事件相互关联，并 可追溯至中国。
这些保险公司正面临州保险监管机构和总检察长的多项调查，部分公司可能因未遵守州数据隐私法而面临罚款，同时联邦执法机构正在调查入侵事件的幕后主使者。
“对于很多机构而言，这往往不是应有的优先事项。由于它们的重心常常放在许多其他事务上，就形成了一个漏洞，我认为很多黑客都已经摸清了这一点，”卫生与公众服务部民权办公室健康信息隐私副主任Deven McGraw说。“我们在多个领域都发现了一些相当普遍的违规问题。”
卫生与公众服务部（HHS）正在调查这些入侵事件，但未就具体事件置评。包括美国和英国在内的众多国家的隐私法均要求医疗公司保护个人数据。然而，监管机构表示，这些公司在维持基本安全方面一直参差不齐。
不良趋势 公司名称 受影响个人（百万） 泄露日期 泄露类型 泄露信息位置 Anthem 78.8 2015年3月 黑客攻击/IT事件 网络服务器 Premera Blue Cross 11.0 2015年3月 黑客攻击/IT事件 网络服务器 Excellus Health Plan 10.0 2015年9月 黑客攻击/IT事件 网络服务器 Science Applications International Corporation 4.9 2011年11月 丢失 其他 Community Health Systems Professional Services Corporation 4.5 2014年8月 盗窃 网络服务器 University of California, Los Angeles Health 4.5 2015年7月 黑客攻击/IT事件 网络服务器 Advocate Health and Hospitals Corporation / Advocate Media Group 4.0 2013年8月 盗窃 台式电脑 Medical Informatics Engineering 3.9 2015年7月 黑客攻击/IT事件 电子病历、网络服务器 Xerox State Healthcare 2.0 2014年9月 未经授权的访问/披露 台式电脑、电子邮件、笔记本电脑 IBM 1.9 2011年4月 未知 其他 资料来源：美国卫生与公众服务部
在英国，尚无国民保健服务体系（NHS）遭入侵的报道，但信息专员办公室（ICO）已对其处以130万英镑罚款，该办公室代表政府开展数据隐私审计。这些罚款大多因疏忽所致：笔记本电脑丢失、文件被遗留在杂货店，以及记录被遗弃在公交车站。
“国民保健服务体系掌握着现有最敏感的个人信息，但在如何保护这些信息方面，NHS非但没有起带头作用，反而是表现最差的机构之一。这是一个重大隐患，”信息专员Christopher Graham今年表示。ICO今年获得了新的授权，可对NHS系统进行强制性审计。“在整个政府范围内，尤其是在医疗系统内保护数据安全，是头等优先事项，”NHS一名发言人表示。
与英国一样，美国医疗服务提供方的大多数数据泄露事件属于笔记本电脑丢失或内部人员不当访问系统这两类。然而，随着越来越多信息以电子形式保存（美国政府大力推动这一理念，以使健康记录更具可携带性），网络入侵事件也在增加。
在一些医院，常参与管理的医生长期抵制他们认为可能拖慢或干扰患者护理的电子化措施。HHS的McGrath女士表示，这是一种常见借口，但她认为更令人担忧的是，许多公司并不对其数据进行加密。
过去几年间，数百起医院合并相继发生，这一问题因此加剧，同一医院集团内常常存在多套IT系统。 网络安全 常被忽视，未被列为优先事项。
“这是一个高度分散的行业，因此不像金融服务和网络安全领域那样，有众多主要参与者带动整个行业，”思科高级服务部门网络安全业务的高级副总裁Bryan Palma说。“医疗领域并非如此。”
在医疗利润率承压的情况下，据专家称，IT预算中仅约3%被划拨用于网络安全。患者护理的诸多环节都共享同一家医院网络。这意味着，寻找患者数据的黑客也可能扰乱运行在同一网络上的救生设备，例如呼吸机。
新威胁浮现
今年，随着调查人员认为与中国有关的入侵事件出现，威胁格局发生了变化。
“我们知道有多个威胁团体从中国境内展开行动，并已对医疗行业发起攻击，”网络安全公司Mandiant的调查员Charles Carmakal说。Mandiant受到Anthem、Premera等公司的聘用。
“虽然我们从组织层面认为知道他们是谁，但无法确定是谁指使他们这样做。最大的问题是：他们是受雇的黑客吗？中国政府是否曾要求他们这样做？”Carmakal先生说。
中国政府否认参与了这些入侵事件。熟悉案件的人士称，美国调查人员认为，中国境内的黑客以美国保险公司为目标，包括Anthem，以了解医疗保险和保险公司数据库的架构。这些记录还具有情报价值。应对医疗挑战一直是中国政府的首要任务，中国正面临人口老龄化且日益富裕的局面，后者要求获得更好的医疗服务。
“中国非常关注任何能帮助其应对现有疾病及人口变化的事物，”CrowdStrike联合创始人Dmitri Alperovitch说，他拒绝具体谈论Anthem的泄露事件。“例如，糖尿病在中国是一个大问题，因此他们把目标瞄准了该领域的公司。”
中国承诺在2020年前向全体公民提供全民医疗保障。目前，中国人均医疗支出仍远落后于发达国家，且医疗体系充斥着腐败和回扣。
该行业也是黑市上出售个人健康数据的犯罪分子的诱人目标。医疗记录的价值远高于信用卡号码，因为通常需要更长时间才能发现被盗用，因此这些数据的有效使用期更长。社会安全号码等数据可用于多种骗局，包括退税欺诈、保险欺诈或Medicare欺诈。
在黑市上，一条信用卡记录大约可卖1美元，但“我见过某人的完整[医疗]记录，价格在200至2000美元之间”，安全公司Raytheon Websense的分析师Carl Leonard说。
他说，市场上充斥着被盗的信用卡信息，因此“现在医疗记录身价不菲”。
调查人员认为，Anthem入侵事件中的信息尚未在黑市上出售。不过，其他黑客以Anthem入侵事件的受害者为目标，发送伪装成来自Anthem或提供信用保护的假冒邮件。熟悉案件的人士称，这些邮件旨在窃取可出售给犯罪分子的数据。
Anthem计划在两年内投入1.3亿美元，以更好地保护其网络免遭入侵。该公司已向监管机构保证已加强系统，所采取的措施包括每10小时更换一次管理员密码，并聘用55名网络安全专家。
糟糕的“网络卫生”
黑客的手段各不相同，但在许多医疗数据泄露事件中，他们注册了与保险公司运营网站相似的域名，而这些域名是在入侵被发现之前设立的。
据网络安全公司ThreatConnect和Symantec的研究，这些假网站通常与真实网站仅相差一个字母，或在网站名称中用数字“1”代替字母“l”。
对于曾用名为WellPoint的Anthem，注册了域名www.we11point.com。Premera对应prennera.com，Empire Blue对应EmpireB1ue.com，CareFirst对应caref1rst.com。所有这些域名均可追溯至中国。
Anthem管理员于1月27日发现入侵时，黑客正在提取一个大型患者数据文件。据信，黑客已在系统中潜伏数月，在开始删除文件之前，通过对数据库运行多次查询来摸清其结构，从而避开察觉，熟悉此次攻击的一位人士表示。
黑客采用了重复模式：提取数据，并略微修改查询以避免被发现。随后，他们删除数据，并将其转移至一个加密共享网站，类似于Dropbox。黑客选择的共享网站与Anthem已在使用的相似，从而增加了检测难度。
Anthem因未建立正确的“网络卫生”或防护措施而受到批评，既未能将遭入侵的风险降至最低，也未能限制网络被渗透时可能暴露的信息。
援引Mandiant的一份报告，由数十名参加其健康保险计划的美国人提起的集体诉讼指称，Anthem未实施双因素认证，未要求用户更改密码，并允许员工访问超出其工作范围的个人信息。
据诉，Anthem还无视警报，据诉讼称，其中一项警报持续了一个月，并且未能实施可监控数据使用或提取情况的系统。该公司现已对其高级系统管理员启用双因素认证。
在2013年9月对Anthem的一次审计中，美国人事管理局监察长表示，该保险公司存在可能成为“恶意病毒和黑客活动网关”的漏洞。
Anthem可能面临罚款，并被要求采取纠正措施。
此次入侵已使Anthem在法律和顾问费用方面花费约2.3亿美元。大部分费用由其网络保险保单承担。然而，Anthem总法律顾问Thomas Zielinski于8月向保险监管机构表示，自泄露事件以来，其网络保险费用已变得更加昂贵。现在，Anthem须承担任何违规事件首笔2500万美元的费用，并已购买一份额外提供1亿美元保额的保单。
“[Anthem]泄露事件提高了人们的认识，”Palma先生说。“医疗行业如今表示：‘这是真的了，我们行业已有先例。’他们虽然来得晚，但至少现在已经到场了。”
刊登文章并不代表世界经济论坛认同其中的观点。
想要紧跟议程， 订阅我们的每周通讯。
作者：《金融时报》报道和评论英国及国际商业、金融、经济和政治领域的最新新闻，并进行分析。
图片：一名男子在电脑键盘上打字。路透社/Kacper Pempel/资料图。
