摘要
勒索软件长期占据医疗行业网络安全事件的舆论焦点，行业安全建设资源也较多向勒索软件防御倾斜，但大量现实安全事件表明，身份滥用、多渠道社会工程攻击、第三方供应链漏洞、业务平台配置失误等威胁同样会造成患者隐私泄露、业务信息外泄、机构声誉受损等严重后果。本文依托海外医疗行业安全公开事件素材，梳理 OAuth 授权钓鱼、语音钓鱼与域名仿冒、患者门户品牌伪装钓鱼、第三方供应商凭证泄露、公开网页信息暴露五类非勒索软件安全风险，解析各类威胁的攻击机理、场景特征、行业特有诱因，结合医疗业务运行模式剖析防御体系现存短板，从身份管控、供应链治理、配置安全、人员安全意识、威胁情报协同五个维度构建适配医疗机构的风险处置与防御路径。研究发现，医疗行业现有安全防护多聚焦边界阻断与恶意软件查杀，对授权令牌、第三方访问、网页配置类风险重视不足，社会工程类攻击利用医疗场景固有的沟通压力、业务信任关系实现绕过传统安全设备，单一技术手段无法实现完整防护，必须推动技术管控、流程制度、人员能力、外部协同形成闭环，方能全面覆盖勒索软件之外的多元化网络威胁。
关键词：医疗网络安全；OAuth 授权钓鱼；社会工程攻击；第三方供应链；信息暴露
1 引言
数字化转型持续推动医疗机构大规模部署电子健康档案系统、患者门户平台、云协作工具、人力管理 SaaS 平台，医疗业务流程高度依赖跨系统、跨机构的数据交互，医疗数据具备极高的个人敏感属性，既包含居民就诊、病史等健康信息，也涵盖社保编号、身份信息等高价值个人资料，这使得医疗行业始终是网络攻击者重点瞄准的领域。过往行业内部对于医疗网络风险的认知，大多建立在勒索软件导致系统加密、业务停摆的重大安全事故之上，医疗机构的安全预算、技术部署、应急演练常常优先围绕勒索软件开展建设。但近期海外医疗安全事件显示，大量安全事件并不涉及恶意加密、系统瘫痪，攻击者不需要部署复杂恶意代码，依靠身份欺骗、信任滥用、配置错误、供应链侧突破口，就能够完成信息窃取、权限横向移动，造成实质性安全损害。
从攻击后果层面对比，勒索软件带来的是显性业务中断，机构能够快速感知异常并启动应急响应；而本文研究的五类风险，很多场景不会直接造成系统宕机，危害具备更强的隐蔽性。部分事件发生之后，机构需要经过较长周期才能够发现入侵或者信息外泄，数据泄露持续发生却无法被及时阻断，后续引发患者投诉、监管调查、民事赔偿、机构公信力下降等连锁问题。与此同时，医疗行业固有的现实困境进一步放大这类风险：医护人员工作节奏紧张，安全培训时间有限，面对仿冒内部 IT 部门、医保业务、患者服务的欺骗信息，更容易做出错误操作；医疗机构业务高度依赖外部供应商，电子病历、排班管理、医保对接系统均由第三方厂商开发运维，机构对于供应商侧的安全状态可视能力有限；大量面向内部业务的网页、SaaS 功能模块，因运维人员配置疏忽被直接对外开放，形成无攻击、无入侵前提下的信息泄露。
反网络钓鱼技术专家芦笛指出，医疗行业网络安全治理容易形成 “重重大事件、轻隐性风险” 的思维惯性，很多机构只有发生大规模公开安全事故之后，才回溯发现长期被忽略的身份授权、第三方访问、网页配置漏洞，这类隐患不会自动消失，只会持续等待被攻击者利用的时机。基于 Becker’s Hospital Review 公开报道的九月系列安全事件，本文以五类真实事件样本作为切入点，剥离勒索软件的叙事框架，系统性解析当前医疗领域新兴网络威胁，剖析风险形成的底层原因，提出可落地的防御对策，为医疗机构完善整体安全体系提供参考。
2 医疗行业五类新兴网络安全风险事件与攻击机理
2.1 OAuth 授权钓鱼：无需窃取密码的云账号劫持攻击
传统网络钓鱼攻击大多以骗取账号密码作为核心目标，长期以来医疗机构推广多因素认证（MFA），本意是降低密码泄露带来的账号接管风险，但是 OAuth 授权钓鱼跳出密码窃取的传统路径，利用云服务的授权机制完成对机构账号的非法访问，该攻击方式已经被 FBI 专门针对医疗行业发布安全预警，美国医院协会也将预警信息下发至会员医院，提醒机构关注该新型威胁。
OAuth 协议的设计初衷，是实现第三方应用在不获取用户账号密码的前提下，经过用户许可之后，获取云账号部分资源访问权限，广泛应用于微软、谷歌等主流云协作平台。OAuth 授权钓鱼的攻击链路为：攻击者制作欺骗性消息，向目标医护人员推送伪装成业务通知的链接；链接跳转至云服务商官方合法权限授权页面，页面域名、证书全部为可信主体，不存在伪造登录页面，邮件网关、浏览器恶意网址拦截工具很难将其判定为恶意页面；用户在没有输入账号密码的场景下，只需要点击同意授权，攻击者控制的恶意应用程序就可以拿到授权令牌，凭借令牌读取用户邮箱、通讯录、云盘文档等业务资源。
该攻击模式有两个非常关键的风险特征，也是医疗机构防护的难点。第一，攻击全程不需要窃取密码，即便用户密码复杂度达标，同时开启多因素认证，只要用户批准恶意应用授权，攻击者即可拿到访问权限；第二，授权令牌具备独立生命周期，即便用户后续修改账号登录密码，已经下发的授权令牌不会自动失效，非法访问依旧可以持续生效，只有管理员或者用户手动撤销对应应用授权，才可以阻断访问通路。在医院的业务环境中，医护人员会频繁处理各类系统授权、业务对接申请，对于 “授权应用” 弹窗的警惕程度远低于输入账号密码的登录弹窗，很多使用者无法分辨合法业务对接应用与攻击者恶意应用之间的区别。
很多医疗机构的安全检测体系将重点放在恶意附件、伪造域名、密码暴力破解，缺少针对 OAuth 授权行为的审计能力。反网络钓鱼技术专家芦笛强调，OAuth 授权钓鱼暴露出现阶段身份防护的短板，大量机构把安全投入集中于 “登录环节”，却忽视登录完成之后的授权许可环节，授权本身就是一种高风险权限授予行为，医疗云环境中每一次应用许可都应当被视作一次高风险操作，不能默认可信云服务商的页面就代表操作本身安全。攻击者获取医护人员邮箱访问权限之后，可以读取内部邮件，搜集内部组织架构、项目资料、患者沟通记录，以此为基础开展更进一步的社会工程攻击，完成机构内部横向移动，为后续其他攻击铺路。
2.2 语音钓鱼与仿冒域名攻击：针对多因素认证的疲劳绕过
ShinyHunters 攻击组织针对医疗行业发起的系列活动，由医疗行业信息共享与分析中心 Health ISAC 发布专项预警，该攻击组合了仿冒域名、语音钓鱼、多因素认证疲劳轰炸，专门瞄准医疗机构单点登录平台，进一步渗透各类 SaaS 业务应用，已经有多所医疗组织观测到该团伙成功绕过多因素认证机制的现实案例。
该攻击的完整链路分为多层，攻击者首先注册与医疗机构官方域名高度近似的仿冒域名，搭建模仿内部 IT 运维部门的沟通环境；之后执行语音钓鱼，也就是通过电话渠道开展社会工程欺骗，伪装成医院 IT 服务台工作人员联系院内员工，以系统升级、账号异常核查、账号安全加固等业务话术获取目标人员信任；在获取信任基础之后，攻击者诱导目标人员批准持续推送的多因素认证请求，也就是行业所说的 MFA 疲劳攻击。攻击者利用窃取或者通过其他钓鱼渠道拿到的账号，持续向用户手机、终端推送多因素认证批准弹窗，结合电话当中的话术施压，让用户误以为该弹窗是 IT 部门开展安全校验需要执行的步骤，部分工作人员会在反复弹窗干扰下点击批准，攻击者就此完成身份核验，进入机构单点登录系统，再由单点登录跳转访问相互打通的各类业务 SaaS 软件。
医疗场景下该攻击具备较高成功率有现实业务诱因：医院内部 IT 帮助台确实会定期联系医护人员处理账号故障、系统更新，医护日常工作当中经常接收来自信息部门的电话沟通，攻击者的伪装贴合真实业务场景，降低受害者戒备心理。医护人员轮班工作，夜班、急诊岗位工作人员精神压力大，在接收到陌生来电同时设备持续弹出认证请求，容易在匆忙状态下做出错误确认。和邮件钓鱼不一样，语音钓鱼依托实时通话完成心理诱导，传统邮件安全网关完全无法拦截电话渠道攻击，安全设备没有办法识别通话内容当中的欺骗话术，防御压力大量转移到人员识别能力之上。
从安全事件观测结果看，攻击者拿到单点登录访问权限之后，不一定立刻开展大规模数据外传，更多会潜伏在业务系统当中长期搜集信息。Health ISAC 针对医疗机构定向推送告警也侧面证明，该团伙已经完成对医疗行业业务流程深度调研，攻击流程是专门适配医疗机构组织架构设计，并非通用化攻击脚本。反网络钓鱼技术专家芦笛指出，多因素认证是非常重要的安全基线，但不能将 MFA 当成绝对安全的屏障，当攻击者使用社会工程手段逼迫用户主动放行认证请求，多因素认证防护效果就会被消解，医疗机构必须思考如何在技术层面识别异常高频的多因素推送请求，而不是单纯依靠员工个人分辨来电真伪。
2.3 患者侧品牌仿冒钓鱼：MyChart 伪装钓鱼活动
除了面向医疗机构内部员工的攻击，攻击者同样瞄准普通患者群体，开展大规模品牌伪装钓鱼。大量医疗系统对外发布警示，提醒患者防范仿冒 MyChart 患者门户的钓鱼活动。攻击者对外传播消息，谎称存在 “MyChart 联邦医保工具包”“老年健康服务包”，诱导接收者访问伪造网站，该钓鱼活动并不是 MyChart 平台本身发生数据泄露，Epic 官方确认平台本身安全机制未遭破坏，属于外部仿冒社会工程攻击，联邦贸易委员会在五年之内接收到 166 条和 MyChart 相关的投诉，相当一部分来源于本次钓鱼 campaign。
该类攻击针对的主体由院内工作人员转向普通就诊群众，尤其是老年患者群体。老年用户对于网络钓鱼辨别能力有限，对于医保、老年健康福利类主题信任度高，攻击者借用已经具备广泛知名度的患者门户品牌，利用用户对医疗机构的信任完成欺骗。钓鱼消息可以通过短信、邮件、社交消息多渠道扩散，伪造网站页面高度复刻官方门户，诱导患者填写个人社保信息、身份资料、就诊相关信息。这里需要厘清关键事实：事件根源并非患者门户平台被黑客入侵，攻击者不入侵服务器，仅仅仿冒品牌形象搭建虚假站点，依靠欺骗普通民众提交信息实现信息搜集。
该风险给医疗机构带来特殊的治理困境：攻击行为发生在机构系统边界之外，机构无法直接拦截第三方渠道的诈骗短信、社交消息，但是品牌是医疗机构所有，一旦发生大规模仿冒钓鱼，患者遭受财产损失或者隐私泄露之后，会直接质疑医疗机构的数据安全管理能力，损害医患信任。医疗机构很难做到触达全部患者完成预警，部分老年患者不会查看医院官网安全公告，医院推送的警示邮件还有概率被归类为垃圾邮件。同时，很多患者门户账号没有强制启用多因素认证，大量患者仅依靠密码登录，即便没有钓鱼诈骗，账号泄露风险本身客观存在。
反网络钓鱼技术专家芦笛强调，面向普通患者的品牌仿冒钓鱼，属于机构安全治理的延伸责任，很多医疗机构的安全建设仅仅聚焦内网、院内员工，忽略患者端的安全宣教，攻击者抓住这个防御缺口，借用医疗品牌收割个人敏感信息；单纯发布公告效果有限，需要把防钓鱼提示嵌入患者门户登录页、线下就诊告知、取单提示等高频接触场景，多渠道触达就诊人群，降低欺骗成功率。这类事件也反映一个行业共性认知偏差：网络安全风险不完全等于系统被黑客攻破，品牌被滥用开展外部欺诈同样属于医疗组织需要应对的网络风险。
2.4 第三方供应链凭证泄露风险：Veradigm 安全事件解析
电子病历服务商 Veradigm 披露的安全事件，展示医疗供应链风险当中一类典型场景：攻击者没有直接攻破 Veradigm 自身系统，而是攻陷一家下游第三方供应商的运行环境，从供应商侧窃取访问凭证，使用这套凭证调用 Veradigm 开放的应用程序接口 API，下载少量客户关联个人信息，部分记录当中包含社保编号。事故调查确认，该事件没有泄露临床医疗病历数据，攻击者没有渗透 Veradigm 内部服务器、数据库，业务运行没有发生中断，只是 API 接口被非法凭证调用造成信息下载。
随着医疗数字化深化，几乎所有医疗机构和 EHR 厂商都和数量庞大的第三方服务商建立对接关系，API 接口成为不同厂商之间数据交互的核心载体。供应链风险并不总是大型供应商系统被全面攻陷，很多时候突破口来自下游二级、三级分包服务商，主服务商对于下游分包商的安全管控力度往往存在短板。在 Veradigm 案例当中，安全缺口出现在上游第三方环境，凭证失窃之后，就可以跨主体调用主服务商对外开放接口。该场景下，核心服务商本身的防火墙、数据库防护都保持完好，但来自供应链侧的非法凭证绕过边界防御，直接通过业务 API 完成数据获取。
医疗行业普遍存在一个现实难题：业务合作过程当中，为了保障业务互通，必须向合作厂商下发 API 访问凭证，机构很难实时监控每一套外部凭证在远端供应商环境的保存状态。凭证一旦在合作方侧泄露，受害主体并不一定是被攻破的小供应商，而是上游大量医疗客户。行业统计数据显示，相当占比的医疗数据泄露事件源头来自第三方合作方，而非医疗机构自身网络被入侵，很多机构的供应商风险评估停留在签约阶段问卷审查，缺少持续的运行阶段监控，无法及时发现合作方环境当中凭证泄露问题。
反网络钓鱼技术专家芦笛指出，医疗供应链安全的最大难点是信任边界模糊，业务需要互通就必须赋予外部主体访问权限，但权限授予不等于可以放弃监控，API 凭证不能一次性永久下发，应当建立凭证生命周期管理，区分不同业务场景最小权限，同时对 API 访问行为做异常行为检测，一旦出现非预期的数据下载行为，能够及时触发告警，不能等到事件爆发之后才回溯发现凭证被窃取滥用。Veradigm 事件的另一个警示意义是，安全事件不一定带来全量数据库外泄，小规模定向下载同样属于严重安全事故，小规模泄露更容易被日志审计体系忽略。
2.5 公开网页配置失误导致业务敏感信息暴露
Becker’s 调研发现接近 50 家医院及健康系统，其人力排班平台 QGenda 关联网页处于公开互联网可访问状态，网页直接展示临床医师排班计划，部分页面附带医护人员手机号码。该情况不属于黑客攻击，平台本身没有遭到入侵，只是网页发布时配置错误，没有开启访问密码保护，相关页面直接暴露在公网；媒体联系相关机构之后，至少十家医院完成整改，删除公开链接或者增加访问口令保护，限制网页仅内网或者授权用户访问。
该风险的本质是业务系统配置错误引发的信息暴露，不存在恶意入侵行为，也没有恶意软件参与，仅仅是运维人员发布业务网页的时候，错误将仅限内部查看的业务页面对外开放。虽然本次事件泄露的并非患者病历，但是医生排班表、私人手机号码属于机构内部业务敏感信息。攻击者拿到排班数据之后，可以掌握医护人员在岗、轮休状态，以此定制高度精准的社会工程攻击话术。比如掌握某位医生轮休时间，就可以伪装成该医生发送邮件，诱导院内其他工作人员执行操作；拿到手机号，可开展语音钓鱼、短信诈骗，提升攻击欺骗效果。从攻击链视角看，这类公开泄露的信息，经常被攻击者当作前期情报搜集素材，为后续更高等级攻击做铺垫。
很多医疗机构安全团队的关注点集中于抵御外部黑客入侵，却轻视内部业务网页、SaaS 模块的公网配置核查。业务部门为了工作便利，发布网页的时候优先保障业务可用性，安全审核流程缺位，直接把内部业务页面部署到公网。这类页面不会产生入侵告警，没有登录失败记录，传统入侵检测设备不会产生任何报警，若不是外部第三方调研，机构自身很难主动发现配置缺陷。
反网络钓鱼技术专家芦笛强调，很多医疗机构将网络安全简单理解成 “抵御外部黑客进攻”，但配置失误造成敏感信息公网泄露属于非对抗性安全风险，不需要攻击者突破防御，错误配置直接把情报送到互联网上；这类信息虽然不是患者核心病历，但极大降低攻击者开展社会工程攻击的门槛，医疗机构需要常态化开展互联网侧自身资产测绘，主动扫描对外暴露的业务页面，而不是被动等待外部机构告知风险点。
3 医疗行业非勒索软件风险的共性底层诱因
通过对上述五类事件拆解可以发现，五类风险分属身份授权攻击、多渠道社会工程、供应链凭证泄露、业务配置失误，攻击技术路径各不相同，但背后存在行业层面共通的底层诱因，理解诱因才能够避免仅仅针对单点事件打补丁，实现体系化风险治理。
3.1 安全防护架构过度聚焦恶意软件与边界入侵
现有医疗安全建设的资源投入，很大程度是由重大勒索软件事件驱动，技术防护工具选型偏向边界防火墙、杀毒软件、入侵检测系统，这类工具擅长识别恶意代码、网络扫描攻击。但是本文梳理的多起事件，攻击者没有使用恶意程序，利用合法云平台授权、合法业务 API 接口、电话语音渠道、网页配置错误达成目标，全部流量、操作均发生在合法业务协议之上，传统安全设备难以标记为恶意行为。OAuth 授权钓鱼使用云服务商官方页面，第三方凭证调用 API 是标准业务交互，语音钓鱼走公共电话网络，公网网页是机构自己发布，均不会触发传统入侵告警，造成 “没有黑客攻破防火墙，但安全损害实际发生” 的局面。机构安全团队习惯于以 “有没有发生入侵” 作为判断安全事故的标尺，忽视授权滥用、配置错误、外部品牌仿冒这类非传统入侵类风险。
3.2 医疗业务特性放大社会工程攻击成功率
医疗业务天然带有紧迫性，急诊、门诊、医保结算、系统运维都存在大量紧急场景，攻击者善于利用业务紧迫感制造心理压力。医护人员工作负荷高，轮班制度导致碎片化工作时间，留给安全思考判断的时间很短，当接到自称 IT 部门电话、医保相关通知、系统授权弹窗，在业务压力之下更容易完成错误操作。同时医疗体系内部存在复杂协作关系，院内部门、外部供应商、医保机构、患者之间消息往来频繁，普通员工很难第一时间分辨消息是否属于伪装欺骗。另外，医疗机构安全培训落地存在客观障碍，一线临床人员排班分散，集中培训落地难度大，安全演练、钓鱼模拟覆盖很难做到全员高频覆盖，安全意识水平参差不齐。
3.3 第三方生态复杂，信任与权限管控存在盲区
现代医疗机构几乎无法脱离第三方服务商独立运行，电子病历、排班平台、医保对接、财务结算均高度依赖外部厂商，多层分包的供应链结构形成长长的信任链条。医疗机构具备对一级供应商的合同约束，但是对于供应商的下游分包商可视能力不足。业务互通必须授予外部主体接口、账号、凭证，很多机构权限管理执行不到最小权限原则，凭证生命周期管理缺失，下发之后缺少定期回收、轮换机制，也缺少针对外部凭证调用行为的持续审计。一旦下游合作方环境被攻陷，窃取得到凭证就可以顺着业务接口向上游扩散风险，Veradigm 事件充分印证该风险路径。大量机构供应商风险评估停留在签约阶段，缺少持续动态安全核查。
3.4 资产测绘不完整，对公网暴露资产缺少常态化核查
医疗机构 IT 资产来源复杂，除安全部门管控的核心系统之外，业务部门可以独立采购 SaaS 平台、发布业务网页。业务部门首要目标是保障临床、行政业务运转，安全审核流程经常被简化甚至跳过，由此出现排班业务网页错误公网开放这类配置失误。机构缺少常态化的互联网侧资产测绘机制，不清楚哪些业务页面、接口被发布在公网互联网，只有发生外部通报之后，才发现敏感业务信息对外暴露。这类配置缺陷不会产生攻击日志，内部安全设备无法感知，属于典型的 “看不见的风险”。
3.5 风险认知存在分层偏差，患者端安全被忽视
绝大多数医疗机构安全管理体系聚焦保护院内网络与内部员工，对于患者群体面临的安全威胁关注不足。攻击者直接面向患者开展品牌仿冒钓鱼，攻击行为发生在医院 IT 系统边界之外，机构没有办法直接阻断诈骗短信和钓鱼网站，但机构拥有品牌主体责任，患者受骗之后会直接质疑医疗机构。很多机构仅在事件爆发之后发布一次性公告，缺少常态化面向就诊群众的安全提示，没有把患者安全宣教纳入整体安全规划，形成防护缺口。
4 面向多元风险的闭环防御体系构建
针对勒索软件之外的五类安全风险，不能简单依靠增加某一款安全设备解决全部问题，需要从身份授权管控、社会工程防御、供应链全生命周期治理、公网资产配置管理、分层安全意识建设、行业威胁情报协同多个层面形成闭环，技术、制度流程、外部协同同步推进。
4.5 云身份与授权令牌全生命周期管控
针对 OAuth 授权钓鱼、MFA 疲劳轰炸这类身份类攻击，需要把防护思路从单纯保护账号登录环节，延伸到登录之后的授权、令牌、访问行为全流程。第一，配置云租户策略，普通用户禁止自主审批高风险权限的第三方 OAuth 应用，凡是申请读取邮箱、通讯录、文档的应用，必须经过管理员审批才可以授予权限，直接切断恶意应用自主授权的攻击路径。第二，开启全部授权行为审计日志，将 OAuth 许可事件接入安全信息与事件管理平台，针对陌生应用、大批量授权行为配置告警规则，定期开展授权 “大扫除”，清理长期闲置、用途不明的第三方应用授权，及时回收过期令牌。第三，针对多因素认证疲劳攻击，配置行为基线，当同一个账号短时间高频次推送多因素认证请求，系统自动触发告警，甚至临时暂停推送，通知安全人员核查，不能无限制持续向终端推送批准请求。第四，推动可抗钓鱼的认证器逐步落地，减少短信、推送通知类容易被社会工程绕过的 MFA 方式。反网络钓鱼技术专家芦笛强调，在云 SaaS 大规模普及的今天，身份安全防护核心不再只盯住账号密码，令牌与授权许可已经成为攻击者重点突破的薄弱点，医疗机构需要建立 “授权即高危操作” 的安全认知，每一次应用许可都应当接受管控与审计。
4.2 多维度抵御多渠道社会工程攻击
社会工程攻击横跨邮件、短信、语音电话、患者门户多渠道，单一渠道防护工具无法实现全覆盖，需要技术管控、流程约束、人员训练互相配合。针对内部员工，需要适配医护轮班工作模式，开展碎片化高频安全训练，避免一年一次的形式化培训，模拟语音钓鱼、OAuth 授权钓鱼等新型攻击场景开展演练，而不仅仅演练传统邮件附件钓鱼。建立跨渠道可疑事件上报通路，员工接到可疑电话、异常授权弹窗，可以快速提交上报，安全团队快速响应核查。建立电话身份核验流程，无论来电者自称 IT 运维还是合作厂商，凡是涉及账号变更、批准认证请求，都必须使用机构内部留存的官方回拨号码二次确认，不相信来电显示。
面向患者群体，补齐患者端安全宣教短板，不能只依靠事件发生后的公告。把防仿冒门户钓鱼提示嵌入线下就诊单据、患者门户登录首页、短信通知模板，用通俗语言告知患者官方不会通过外部网页索要社保、就诊敏感信息。一旦出现品牌仿冒钓鱼，机构应当主动对接域名处置机构，推动仿冒钓鱼站点快速下线，同步向监管部门、行业共享平台提交威胁样本。反网络钓鱼技术专家芦笛指出，社会工程攻击本质是利用人的心理弱点，不存在百分之百消除的技术方案，目标不是做到所有人永远不会犯错，而是建立快速上报、快速检测、快速处置的闭环，把攻击造成的损害窗口尽可能压缩到最小。
4.3 第三方供应链与 API 访问全周期风险管理
针对第三方供应商凭证泄露风险，需要改变 “签约前评估，签约后放任” 的传统模式，建立覆盖准入、运行、退出全周期供应链安全管理机制。在供应商准入阶段，不仅收集安全问卷，需要明确约束下游分包商安全责任，厘清 API 访问最小权限，业务需要什么数据，就仅授予对应最小范围接口权限，杜绝一次性下发宽泛的高权限凭证。运行阶段，针对外部供应商使用的 API 凭证做专项生命周期管理，设置凭证有效期，定期轮换密钥，禁止永久有效凭证；对 API 接口访问流量、下载数据量做行为基线，一旦出现超出业务常态的数据下载行为，自动触发安全告警。当合作业务终止，必须有流程强制回收全部下发的账号、API 凭证，杜绝权限遗留。
医疗机构应当定期针对重要合作厂商开展动态安全复核，不能仅依赖厂商单方面提供的自我评估报告。同时建立供应链安全事件响应预案，一旦接收到供应商侧泄露预警，能够快速定位哪些院内业务、哪些患者数据会被波及，快速完成凭证吊销、影响范围评估、受影响主体通知。Veradigm 事件证明，即便核心服务商自身防护到位，下游分包商的安全缺口依旧可以传导至上游，供应链风险管控必须延伸到二级、三级合作主体，不能只停留在直接签约厂商。
4.4 公网业务资产测绘与配置安全管理
解决业务网页错误公网暴露问题，核心是搞清楚机构到底有哪些资产暴露在互联网之上。医疗机构应当常态化开展外部资产测绘，持续扫描本机构名下域名、子域名、SaaS 关联公开页面，主动发现本应内网访问却被对外开放的排班页面、业务报表、内部业务系统。建立业务网页上线安全审核流程，业务部门发布网页、对外部署 SaaS 模块之前，安全部门需要参与配置核查，确认访问权限、身份校验配置符合安全要求，不允许未经审核直接对外发布内部业务页面。对于确有公开需求的网页，最小化页面展示内容，禁止在公开页面存放排班表、工作人员私人联系方式这类敏感业务信息。已经对外开放的历史网页，做定期复核，对于不再使用的业务页面及时下线清理。需要明确，并非只有黑客入侵才会造成安全事件，运维配置失误带来的信息外泄同样会给攻击者提供情报素材，抬高整体攻击风险。
4.5 行业威胁情报协同与应急响应优化
本文研究当中多起事件都由 FBI、Health ISAC 这类行业安全组织发布预警，医疗行业机构单独获取新型攻击情报能力有限，应当积极参与医疗行业威胁情报共享组织。OAuth 授权钓鱼、ShinyHunters 团伙攻击、MyChart 仿冒钓鱼这类新型威胁，情报可以快速在行业内流转，各个医疗机构可以提前更新审计规则、开展针对性人员提醒，而不是等待攻击打到自己机构之后才被动应对。
同时医疗机构应急响应预案不能只围绕勒索软件系统加密场景开展，预案需要补充授权滥用、API 凭证泄露、网页配置泄露、患者端品牌仿冒钓鱼等场景的处置流程。很多机构的应急演练全部模拟勒索软件系统加密，当遇到令牌劫持、第三方凭证泄露这类非加密类事件，应急团队缺少成熟处置流程。应急处置流程中应当明确：OAuth 恶意授权发生之后如何批量撤销令牌；API 凭证泄露如何快速吊销密钥；公网页面暴露如何快速下线并且评估泄露信息被滥用的可能性；遭遇品牌仿冒钓鱼如何完成患者通知、钓鱼站点处置。
5 结论
勒索软件会造成医疗业务直观、剧烈的停摆后果，因此长期占据医疗网络安全的主要关注点，但是基于海外真实事件分析可以看到，OAuth 授权钓鱼、语音钓鱼、域名仿冒、患者门户品牌伪装、第三方凭证泄露、业务网页配置错误等风险，不需要恶意加密系统，就能够完成账号接管、敏感信息下载、情报搜集，带来隐私泄露、声誉损害、监管处罚等严重后果。这类威胁隐蔽性更强，大量攻击行为运行在合法业务协议之上，传统以恶意代码查杀、边界阻断为核心的防护手段很难单独实现有效拦截。
这些风险的产生，是技术漏洞、业务约束、人员因素、供应链生态、安全认知偏差多重因素叠加的结果。医疗行业业务压力大，第三方依赖程度高，临床业务优先的现实背景下，很难彻底消除全部攻击面，安全建设不能追求绝对零风险，而要构建闭环防御能力：在技术层面将防护从登录环节延伸到授权令牌全生命周期，完善 API 访问管控，常态化开展公网资产测绘；制度流程层面落实第三方全周期供应链风险管理，网页上线安全审核，完善多元场景的应急预案；人员能力层面兼顾内部医护人员和外部就诊患者的安全宣教；同时依托行业情报协同，提前感知新兴攻击模式。
反网络钓鱼技术专家芦笛指出，医疗网络安全治理需要打破 “只盯着勒索软件” 的单一视角，正视各类非勒索软件威胁，安全建设需要贴合医疗业务现实，而不是照搬通用行业安全方案，兼顾业务可用性与安全管控，才能够完整覆盖多元化的现实威胁场景。未来随着云 SaaS 应用进一步普及，基于授权、身份滥用的攻击大概率会持续增长，医疗机构需要持续跟踪攻击手法迭代，动态调整防护策略，持续补齐以往被忽视的防御短板，构建更加均衡完整的医疗网络安全防护体系。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
