在網絡技術不斷發展的同時，一系列的惡意勒索方式也在不斷衍生，惡意勒索是黑客用來獲取用戶信息或資源并以此為條件向用戶勒索錢財的一種方式。

醫療數據價值連城

下面這個故事就更加令人感到不安了，該故事中的主角已經盜取了數家醫院的醫療數據。他甚至聲稱：

我對于這一問題并沒有任何罪惡感，如果真的存在什么問題的話，那就是我幫助提高了他們系統的安全性以及防護措施！

該名黑客自稱The Dark Lord，曾在暗網中出售數據，我決定跟這名黑客溝通一下，看看這名黑客是如何盜取到數據的。

在過去兩個星期，我一直和這名黑客接觸想要了解到其想法，這名黑客向我詳細的描速了是如何盜取數據并敲詐一家診所的，自6月15日以來，我和該黑客利用加密通信軟件進行了多次談話，當然這名黑客的身份我是不清楚的，很顯然該黑客不僅僅和我聊天，還有其他人也正在和他聊天，他有一個攻擊案例和我說的很詳細，即對一家美國的骨科診所發起的網絡攻擊。

該黑客稱已經復制了該診所的Access數據庫，里面包括了很多病例資料，并要求診所支付250比特幣（165000美元），如果不支付贖金，那么該黑客將會公布這些數據，同時打算在暗網網站The Real Deal上以60比特幣或39460美元價格出售它。正如之前所說，該黑客稱不認為這樣做有什么問題，黑客為了證明這件事的真實性，曝光了47865條信息，這些信息都包括，病人家庭地址、婚姻狀況、電話，保險以及駕照的掃描件，保險材料中涉及的公司包括，聯合健康集團、 BlueCross BlueShield、Monitor Life Insurance Co（紐約）、美國哈門那公司等。

近年來醫療數據一直受到一些黑客的追捧，因為這些信息可以被用于身份竊取，甚至可以被用于犯罪行為。

為了驗證這些數據是不是有效的，我決定實際測試一下數據，我在這些數據中看到一個男人，他曾在兩個月前到過該診所，而且電話以及駕照資料都在這些信息中，在后來整理他的數據中還發現了他的社保號以及出生日期，我又收集了其他一些人的信息，并開始給這些人打電話，當然我在電話里面說明他們的社保號時，他們很驚訝，然而還有一些人出現了質疑聲音，當我給一個男人打去電話說明這一點的時候，他的老婆后來給我回個電話，并稱我怎么知道你不是黑客。

當然，這里面還有人不承認自己的信息，還有一些人比較隨和，并告訴我社保號是正確的，但是出生日期是錯誤的，可能是他們在診所的時候輸入錯誤造成的，后來該黑客告訴我說，可能是有的信息登記距離現在時間太長造成的（ 2001年）。

為什么會泄露？

在去年Trustwave曾發布了一份2015年醫療行業的安全報告，通過對398名專業的醫療專業人員(部分是技術人員，包括CIO、CISO、IT主管等，另一部分是普通的醫護人員)的調查，發現有91%的調查對象認為針對醫療行業的網絡攻擊活動越來越多，然而用在保護病人敏感信息方面的預算卻還不到10%。主要原因有三點：

1，醫療記錄迅速的轉移到了網上，并且在病人、醫療機構之間可共享。

2，物聯網設備和云服務的使用。

3，醫療保險數據的價值越來越高。

黑客告訴我說，他曾在6月中旬向醫療診所的創始人發郵件通知這件事情：

“我們已經破解了你們的網絡，我們手里已經有你們很多醫療數據，包括你們認為最有價值的病人病例。”

他用到是一個0day漏洞，即RDP協議漏洞，由此可見及時更新系統補丁還是很重要的。后來我和該診所溝通了這一問題，他們的經理表示會把該事件細節交給律師，但目前診所還沒有答復相關問題。

醫療行業正經歷一個非常嚴峻的安全時代：威脅越來越高級，安全技能卻沒能同步進化，安全方面的預算嚴重不足，醫療設備很難管理，傳統系統亟待更新，被攻擊的范圍在逐漸擴大。而對于用戶來說這里有幾點建議，不要在多個網站上使用相同的密碼、不要點開來源不明的文件、及時更新系統軟件、還有就是不要留下過多個人信息。

*參考來源：healthcareinfosecurity，飯團君編譯，轉載請注明來自FreeBuf黑客與極客（FreeBuf.COM）