Электронная карта пациента: кража данных хакерами все еще возможна

Берлин/Ганновер. Незадолго до начала 2024/25 учебного года миролюбивый настрой среди ответственных за электронную медицинскую карту (ePA) резко оборвался: хакеры из Chaos Computer Club (CCC) продемонстрировали на ежегодной конференции клуба , как можно взломать новую цифровую систему, потенциально предоставив доступ к миллионам медицинских карт. В результате внедрение ePA было первоначально отложено, и около пяти процентов застрахованных лиц изначально возражали против её использования.

Электронная карта пациента (ePA) официально введена, и с 1 октября она стала обязательной для медицинских работников. В последние месяцы были также значительно улучшены меры безопасности: Gematik, федеральное агентство цифровой медицины, внедрило ряд усовершенствований после сообщений Chaos Computer Club (CCC). Взлом ePA сегодня стал сложнее, но всё же возможен.

IT-эксперты CCC критикуют одну деталь, которая по-прежнему делает новый инструмент уязвимым. По словам Gematik, решение уже на подходе, но не раньше следующего года.

Наконец-то это произошло: электронная история болезни пациента уже работает. Но многие пациенты всё ещё сомневаются: как получить доступ к карте? Кто решает, кто может что-то видеть? И насколько защищены конфиденциальные данные?

Чтобы понять проблему, необходимо понять, как работает электронная карта пациента (ePA). В настоящее время для доступа к карте пациента требуется, во-первых, идентификационная карта врача, а во-вторых, полные данные пациента. А именно: номер карты, номер медицинской страховки, адрес и дата начала действия страховки. Gematik уже решила эту проблему: прежней комбинации номера карты и номера медицинской страховки больше недостаточно для доступа. Более того, после критики со стороны Chaos Computer Club (CCC) разработчики ограничили количество возможных доступов.

Таким образом, препятствия для атак стали значительно выше, но не непреодолимы. Такие данные, как адреса, потенциально могут быть получены посредством утечек данных , а другая информация – посредством фишинга. На ежегодной конференции CCC IT-специалисты Бьянка Кастл и Мартин Чирсих также продемонстрировали, как они получали карты медицинского страхования, совершая телефонные звонки в страховые компании, и даже удостоверения личности врачей, используя уязвимость системы безопасности. В апреле хакеры вновь продемонстрировали, как можно атаковать электронную карту пациента (ePA) с помощью так называемой процедуры подмены сертификата. Впоследствии Gematik закрыла и эту уязвимость.

Однако хакеров это всё ещё не вполне устраивает: как заявил Кастл в интервью RedaktionsNetzwerk Deutschland (RND), то, как агентство устраняет уязвимости системы безопасности, «явно можно улучшить». Для эффективной минимизации риска IT-эксперт хотел бы внедрить чёткую процедуру для электронных медицинских карт пациентов (ePA).

Каждый человек, имеющий обязательную медицинскую страховку, может читать и управлять своей электронной медицинской картой на смартфоне. Однако на самом деле мало кто этим занимается. Тем не менее, важно, например, защитить конфиденциальные документы.

«В настоящее время для доступа к электронной карте пациента (ePA) требуется только большой объём информации: номера карт, номера медицинской страховки, адрес и дата начала действия страховки», — объясняет Кастл. «Проблему можно решить, считывая только подписанные, подлинные данные с карты медицинского страхования. Это позволило бы провести криптографическую проверку, не оставляя сомнений в том, что карта, выданная страховой компанией, действительно считывается. Поэтому безопасная технология существует уже некоторое время, но до сих пор не использовалась для ePA».

По данным Gematik, именно такая процедура запланирована на следующий год, о чём агентство сообщило RND. Планируется процедура «Подтверждения присутствия пациента» (PoPP). На вопрос о предложении CCC о цифровой криптографической подписи агентство ответило: «Да, такая процедура планируется в рамках PoPP». Однако она всё ещё находится в стадии разработки, поэтому подробности раскрыты не могут.

Технически процесс должен работать следующим образом: пациент вставляет свою карту медицинского страхования в устройство в кабинете врача, как и раньше. Однако вместо простого считывания данных с карты в фоновом режиме выполняется запросно-ответный процесс. Служба PoPP, являющаяся частью системы безопасности, генерирует случайное число и отправляет его на карту медицинского страхования. Карта шифрует это число и отправляет результат обратно. Только при правильном шифровании случайного числа карта считается подлинной и физически присутствующей. Изначально власти не называли точную дату начала действия программы – 2026 год.

До тех пор сохраняется как минимум остаточный риск. IT-эксперты неоднократно указывают на опасности, которые могут возникнуть из-за неадекватных мер аутентификации в электронных медицинских картах пациентов (ePA). Кастл приводит пример Сингапура: «В 2018 году был получен доступ к медицинским данным 1,5 миллиона человек . Целью был также список лекарств премьер-министра». Данные такой конфиденциальности представляют собой «риск для целых стран», поскольку позволяют атаковать другие критически важные объекты инфраструктуры или политиков, поясняет эксперт.

В качестве другого примера Кастл приводит кибервзлом Bitmarck, поставщика ИТ-услуг для компаний обязательного медицинского страхования и поставщика электронных медицинских карт пациентов (ePA), произошедший в 2023 году. В результате взлома были скомпрометированы такие данные, как имена, даты рождения и уникальные номера медицинских карт страховых полисов, принадлежащих примерно 300 000 онлайн-клиентов различных компаний медицинского страхования. В то время ИТ-эксперты также назвали одной из причин взлома неадекватные меры аутентификации .

Для частных лиц подобные атаки могут иметь серьёзные последствия. В Дании, стране с гораздо более развитой цифровой инфраструктурой, злоумышленники получили доступ к самым личным данным десятков тысяч пациентов через консорциум медицинских учреждений, включая медицинские карты. Аллан Франк, специалист по ИТ-безопасности Датского агентства по защите данных, сообщил тогда RND , что такие конфиденциальные данные могут быть использованы для шантажа — в конце концов, мало кто из пострадавших хотел бы, чтобы информация об их лечении стала достоянием общественности.

В Германии большинство пациентов, по всей видимости, чувствуют себя достаточно уверенно, используя электронную медицинскую карту пациента (ePA), несмотря на её недостатки. Несколько недель назад компания Gematik опубликовала обновлённые данные об использовании. Эти данные показали дальнейший рост в течение первых четырёх недель, в течение которых медицинские учреждения, аптеки и больницы должны были использовать ePA для всех.

За последнюю неделю октября было зарегистрировано 17,4 млн запросов на получение списков лекарств. За последнюю неделю сентября этот показатель составил 12,6 млн. Количество медицинских карт пациентов также растёт: только за октябрь было загружено 10,6 млн документов. Общее количество с момента запуска электронной медицинской карты пациента (ePA) достигло 37 млн.

Доля тех, кто возражает против электронной истории болезни пациента (ePA), остаётся сравнительно низкой. Как сообщила новостному телеканалу RND Национальная ассоциация фондов обязательного медицинского страхования (GKV-Spitzenverband), уровень возражений остаётся на уровне около пяти процентов.