新加坡150万病患数据被盗 总理李显龙开药记录遭泄露

　　浙江在线7月21日讯（浙江在线编辑 吴盈秋）据新加坡《联合早报》20日报道，新加坡近来遭受历来最大规模的严重网络安全攻击。该国150万名病患的个人资料遭泄露，其中约16万人的门诊开药记录也遭窃，包括总理李显龙以及数名部长在内。

　　新加坡通讯及新闻部和卫生部20日联合召开记者会，介绍了该起网络攻击事故的详情。失窃的病患资料可追溯到2015年5月1日至今年7月4日这段期间，到新加坡保健服务集团旗下诊所问诊的病人。调查显示，黑客以恶意软件(malware)入侵新加坡保健服务集团(SingHealth)的系统后，从今年6月27日至7月4日盗取了150万名病患的个人资料，其中16万人的开药记录也被盗窃。失窃的个人资料包括姓名、身份证号码、地址，和出生日期等。受影响病人的资料与记录并没有被修改或删除。

　　黑客还取得了李显龙和数名部长的个人资料和开药记录。调查显示，黑客的攻击行动经过蓄意和精密筹划，先从新保集团的电脑侵入，植入恶意软件后，有目标地攻击新保集团数据库中的具体个人资料，直接和不断地试图盗取和复制总理李显龙的个人医疗记录并成功得逞。

　　李显龙在2015年2月被诊断患上前列腺癌，并接受手术切除前列腺。他在术后请了一个星期的病假修养，并于2015年3月正式重返工作岗位，出席国会辩论。

　　被问及这次的攻击是否是海外黑客所为，是处于商业或是政治目的，如果是海外黑客我们正采取什么行动将他们绳之以法等，新加坡网络安全局局长许智贤以保安理由不愿透露太多，只表示“这不是业余黑客或犯罪团伙干的”。

　　新加坡卫生部长颜金勇在当天下午的记者会上，对这起重大网安疏漏对国人造成的损失道歉，并表示深切的遗憾。

　　报道称，新保集团(Singhealth)将通过手机短信和信件联络这150万名受影响的公众，他们的其他病历资料没有被盗取，其他公共医疗机构数据库也不受影响。  

　　是什么让黑客盯上了医院

　　《华盛顿邮报》分析卫生与公众服务部数据后发现,仅2015年3月,美医疗系统就遭遇了1100多次黑客攻击,逾1.2亿人利益受损。2016年6月，一名黑客从三家美国医疗机构窃取了数据库数据，并公然打广告兜售65万余名病人的医疗记录信息。

　　为何黑客对医院青睐有加?专家认为,医院掌握的特有资源令不法分子垂涎三尺,而医院相对落后的信息安全系统又给了这些人可乘之机。

　　按照《基督教科学箴言报》的说法,医疗系统在黑客眼中简直就是个大金库,内有个人姓名、住址、联系方式、社会保险号码、银行账号信息、索赔数据和临床资料等海量信息。这些信息不只能拿到黑市上卖个好价钱、供人盗用身份,还能让人非法获取处方药、甚至骗取保险。一旦有人因此被窃取身份,小到寻医问药、大到医疗保险、信用记录都可能受影响,风险着实不容忽视。

　　美国知名网络安全研究机构波内蒙研究所数据显示,2014年医疗身份失窃影响了大约230万人的生活,比前一年上升21%,因此给受害者造成人均1.35万美元的损失。

　　长期报道网络安全的记者贾伊库马尔·维贾扬认为,由于美国大力推进电子病历记录项目,眼下全国医疗系统的病历档案统统联网,这为黑客们向医院下手提供了便利。而医院和保险公司的信息安全技术更新换代比较慢,安全意识又普遍较弱——服务器管理不设权限,设备不更改初始密码或设置过于简单,无线网络密码几乎人人能猜到……这样的例子比比皆是,黑客们才得以频频得手、日渐猖狂。

　　还有更多安全隐患

　　虽然迄今尚无报告显示黑客对医院的攻击造成病患伤亡,但不少业内人士呼吁,医院亟需加强数据安全工作,尤其在医疗设备上更要下功夫防范风险。

　　约翰斯·霍普金斯大学计算机学教授、网络安全专家阿维·鲁宾说,早在上世纪90年代,他参观东海岸医院时就发现不少医院计算机实验室密码保护过于简单,安全程序被随意更改,软件控制的药物调剂机器人缺少必要的保护程序。

　　“一旦(调剂药物的)软件出故障怎么办?要是有人攻击这个系统、导致药全都配错了怎么办?”鲁宾忧心忡忡地说。

　　眼下,美国不少医疗设备生产商开始和监管者一起,加强安全措施,防范网络袭击——

　　2013年,食品和药物管理局向医疗保健设备生产厂家发布网络安全备忘录,建议对方评估设备及相关网络安全；2014年,食品和药物管理局发布指导准则,要求医学设备上市前必须接受网络安全测试；2015年,食品和药物管理局联手国土安全部向医院发布警告,指出一种植入式药泵设计存在严重缺陷,能给黑客可乘之机；2016年1月,食品和药物管理局起草文件,要求设备生产商展开安全自检,同时允许第三方研究人员标注安全风险。

　　医学设备技术安全顾问斯科特·埃芬斯认为,如何平衡医学创新和监管之间的关系至关重要,但这一切不应以人的生命为代价。

　　埃芬斯说,虽然目前尚未发现有人蓄意针对医学设备发动网络攻击,但风险犹存。靠内部自省与外部监管不断完善是个漫长的过程,医院眼下至少还能做些补充防范措施,例如将安全风险最大的设备与外部网络断开,要求技术人员删除预设的安全凭证信息,加强无线网络安全,淘汰安全隐患较大的设备等。

　　【延伸阅读】

　　数据时代的隐私之战

　　2017年，瑞典遭遇史上最大规模数据泄露事件。瑞典政府承认，在互联网工程服务外包中发生了大规模资料外泄。这些可能已遭泄露的信息包括瑞典全国的机动车驾驶人信息，桥梁、地铁、道路和港口等敏感信息，甚至还有瑞典警方和军方的车辆信息和防御计划等。

　　黑客入侵也使用户信息出现泄露。美国《财富》网站报道，美国特朗普国际酒店管理公司于2017年7月表示，由于一家服务提供商的系统遭到黑客入侵，旗下14 处酒店的客户信用卡支付细节遭到外泄。

　　另据英国的科技新闻网站The Register报道称，2017年7月，data.gov.uk网站使用者的姓名、邮箱和密码等信息被发现能在第三方网站上接入获取。2015年6月20日前注册这家网站的用户都受到了影响。