Medtronic تؤكد تعرضها للاختراق بعد ادعاءات ShinyHunters

أكدت Medtronic أنها رصدت وصولاً غير مصرح به إلى أجزاء من بيئتها التقنية المؤسسية، وذلك بعد أن ادعت مجموعة ShinyHunters الإجرامية الإلكترونية أنها سرقت ملايين السجلات. وقالت عملاقة التكنولوجيا الطبية في 28 أبريل إنها لم تجد أدلة على حدوث أي تعطيل للمنتجات أو سلامة المرضى أو التصنيع أو التوزيع أو الأنظمة المتصلة بالعملاء، لكنها لا تزال تحقق فيما إذا تم الوصول إلى معلومات شخصية.

هذا التمييز مهم. فـ Medtronic ليست شركة برمجيات عادية. إنها متوغلة بعمق في البنية التحتية للرعاية الصحية، بمنتجات تمتد من أجهزة تنظيم ضربات القلب وأنظمة الأنسولين إلى الأدوات الجراحية والمنصات الموجهة للمستشفيات. وعندما تعترف شركة بهذا الحجم بوقوع اختراق، فإن السؤال الفوري لا يقتصر على ما قد تكون البيانات التي تم الكشف عنها، بل يشمل أيضاً ما إذا كانت الأنظمة التشغيلية والسريرية معزولة بشكل كافٍ لتجنب إلحاق الضرر بالمرضى.

ووفقاً لـ SecurityWeek، كان ShinyHunters قد أدرج Medtronic على موقع التسريب الخاص به في وقت سابق من هذا الشهر، مدعياً أنه بحوزة أكثر من 9 ملايين سجل بالإضافة إلى تيرابايت من البيانات المؤسسية. ولم تؤكد Medtronic هذا الرقم، لكنها قالت إنها تعمل على تحديد ما إذا كانت أي معلومات شخصية قد تم الوصول إليها. كما شددت الشركة على أن الشبكات الداعمة لتقنية المعلومات المؤسسية والمنتجات وعمليات التصنيع مفصولة عن بعضها البعض، وأن شبكات عملاء المستشفيات تُدار بشكل مستقل.

هذا الفصل بين الشبكات هو أهم تفصيل تقني في القصة. ففي حالة اختراق قطاع الرعاية الصحية، هناك فرق بين اختراق الأنظمة الإدارية الخلفية والتأثير على العمليات الطبية المتصلة. إن Medtronic تقول فعلياً للعملاء والجهات التنظيمية إن الحادث يبدو محصوراً في الأنظمة المؤسسية وليس بيئات المنتجات. كما كشفت شركتها الفرعية MiniMed لهيئة الأوراق المالية والبورصات أن أنظمتها التقنية الخاصة لم تتأثر.

أما الدلالة الأوسع فهي أن المهاجمين يواصلون استهداف شركات تتجاوز قيمتها بكثير سعر إعادة بيع البيانات الشخصية الخام. فشركات الرعاية الصحية والأجهزة الطبية تحمل حساسية تنظيمية ونفوذاً تشغيلياً ومخاطر سمعة، مما يجعلها أهدافاً جذابة للابتزاز حتى عندما تبقى الخدمات الموجهة للمرضى متصلة بالإنترنت. وفي الوقت الراهن، يشير بيان Medtronic إلى أن الشركة تجنبت أسوأ السيناريوهات. لكن إلى أن يكتمل العمل الجنائي، لا يزال هذا حادثاً أمنياً قائماً مع أسئلة مهمة حول نطاق الكشف عن البيانات وشفافية الاستجابة، كما أفاد SecurityWeek أولاً.