報告揭示了忽視網絡安全的“第二經濟”市場動態的后果；醫療記錄的市場價值尚未超過被盜金融數據以及制藥、生物技術數據的市場價值

新聞要點

· 邁克菲實驗室發現被盜醫療記錄的售價為每條0.03到2.42美元

· 與之相比，被盜金融賬戶記錄的售價為每條14.00到25.00美元

· 信用卡和借記卡賬戶數據的售價為每條4.00到5.00美元

· 被網絡罪犯盯上的最有利可圖的醫療行業數據是制藥、生物技術知識產權等相關數據

· “網絡犯罪即服務”經濟是專門圍繞醫療行業數據發展而來

· 網絡罪犯聯手醫療業內人士共同犯罪

中國北京，2016年11月8日——Intel Security今天發布了中文版《邁克菲實驗室醫療保健行業安全預警報告》，該報告評估了被盜醫療記錄市場環境；將其與被盜金融服務數據進行對比；發現針對醫療領域的“網絡犯罪即服務”這一趨勢；并概括介紹了針對制藥和生物技術行業知識產權的網絡犯罪。Intel Security的研究顯示，被盜數據市場及相關黑客技能的發展表明醫療行業的“網絡犯罪業務”正在增長。

Intel Security歐洲、中東及非洲區首席技術官Raj Samani表示： “對于客戶個人信息至關重要的行業，失去客戶信任將對其發展以及成功前景帶來災難性的影響。考慮到針對此類行業與日俱增的威脅，在第二經濟環境下，數據泄露成本應當從時間、金錢和信任等維度進行評估——失去信任讓個人和企業遭受的損失幾乎跟資金鏈斷裂一樣大。”

被盜數據的價值

Intel Security發現，盡管信用卡和借記卡卡號等數據隨著時間的流逝價值越來越低，或者說很容易失效，被盜的患者醫療記錄售價依然低于金融賬戶記錄和零售支付賬戶信息。

近年來，Intel Security觀察到，網絡犯罪團伙把盜取數據的黑手從金融賬戶數據延伸到醫療記錄領域。信用卡和借記卡可以很快被取消或替換，然而，受保護的醫療信息（PHI）卻不能。這些“不易失效”的PHI可能包括患者姓名、身份證、社保賬號、支付卡和保險數據，以及患者地址記錄等。盡管這種現狀已導致業內猜測每條醫療記錄的售價將很快上升，甚至高于金融賬戶或支付卡數據的售價，但Intel Security于2016年度的調查卻沒有顯示這種變化趨勢。

Intel Security的調查發現，醫療記錄的平均價格高于個人身份基本信息，但仍然低于個人金融賬戶數據。每條金融賬戶數據記錄的價格從14.00 到25.00美元不等，每條信用卡和借記卡數據約為4.00到5.00美元，但是每條醫療賬戶數據的售價僅為0.03到2. 42美元。調查結果顯示，金融賬戶數據仍然比個人醫療數據更有利可圖。金融支付數據更容易變現，而個人醫療數據則需要更多投入。在盜取大量醫療記錄之后，網絡罪犯必須進行數據分析，可能還要與其它來源的數據進行交叉參考，這樣才能找到欺詐、盜取、敲詐或勒索的機會。相對而言，金融數據則會為網絡罪犯帶來更快、更有吸引力的投資回報。

Intel Security歐洲、中東及非洲區首席技術官Raj Samani表示：“在盜取數據進行牟利方面，數據的流動性勝過長久有效性。如果我盜取了一百萬份信用卡或借記卡卡號信息，我可以在銀行和零售商發現卡號被盜并取消這些卡號之前迅速賣掉這些數字商品。然而，雖然一百萬份醫療記錄包含數量龐大的永久性PHI和個人歷史記錄，但是這些數據需要投入更多時間和人力資源，才能加以利用并賺錢。”

盜取知識產權和商業機密數據

Intel Security的研究報告還調查了網絡罪犯從生物技術和制藥公司盜取知識產權和商業機密數據的犯罪行為。研究人員表示，這些信息的經濟價值遠遠高于患者醫療賬戶中每條幾分錢的數據信息。

Intel Security的研究人員還發現，下一代藥品的配方、藥品試用結果以及其它商業機密信息包含了更大的價值。生物制藥公司及其合作伙伴、甚至參與新藥上市的政府監管機構中存儲這些數據的部門已成為網絡罪犯的首要目標。

Samani表示： “和世界上其它許多犯罪趨勢類似，企業間諜活動已經實現數字化。如果你都能想到研發對于這些行業來說是一筆巨大的費用投入，那么網絡罪犯被盜取這類醫療數據所帶來的回報所吸引也就不足為奇了。”

“網絡犯罪即服務”經濟學

Intel Security還發現，網絡罪犯充分利用“網絡犯罪即服務”的市場資源來攻擊醫療企業。研究人員發現有證據表明，網絡罪犯購買并租用攻擊和攻擊工具套件來破壞企業系統，竊取醫療數據。在一個犯罪案例中，一位并不太精通技術的網絡盜賊購買工具侵入一個脆弱的企業系統，充分利用免費技術支持來完成攻擊，最終盜取了超過1000份醫療記錄。據服務提供商稱，這些信息讓他牟利15564美元。

研究人員還發現這些網絡罪犯的另一個無恥行徑——他們通過在線廣告和社交媒體招募醫療業內人士聯手進行犯罪活動，利用業內人士的職務之便來竊取寶貴信息。

Samani繼續介紹道： “當一個成熟的網絡犯罪團伙把目標鎖定一個準備不足的行業，如醫療行業時，業內的企業傾向于使用“亡羊補牢”的方式來防御來自昨天的威脅，而不是提前應對今天和明天的威脅。要想在網絡安全領域占上風，必須拒絕傳統方式，采用前瞻性的新思維。如果醫療企業一直遵循舊的游戲規則，那他們的未來將會不可預測。如果行業內的廠商積累了應對威脅的經驗，就必須更加密切地合作。如果他們普遍低估了網絡防御的重要性，就需要優先考慮這個問題。在第二經濟中，如果企業在與攻擊者的對抗中贏得了‘時間’，企業就能夠獲得盈利和客戶信任。”