Especialista encontra diversas falhas de segurança em sistemas hospitalares
Diversas clínicas e hospitais contam com infraestruturas informatizadas e complexas, com dispositivos médicos sofisticados e computadores funcionais com sistema operacional e aplicativos instalados. Em outras palavras, os médicos agora dependem de computadores e todas as informações desses hospitais são armazenadas em formato digital. Além disso, muitas tecnologias na área de saúde estão conectadas à internet. Por conta disso, não é surpresa que tanto os dispositivos médicos quanto a infraestrutura de TI dos hospitais já tenham sido alvos de hackers.
No entanto, os grandes ataques de malware são apenas uma forma pela qual cibercriminosos podem explorar a infraestrutura hospitalar. Outros potenciais alvos são as informações pessoais dos pacientes, que podem ser roubadas, ou os equipamentos caros utilizados nos exames, que são difíceis de consertar/substituir e que podem ser usados em extorsões.
O especialista do time de pesquisas e análises globais da Kaspersky Lab, Sergey Lozhkin, realizou um estudo de campo em uma clínica hospitalar privada, com o objetivo de investigar falhas de segurança e aprender como solucioná-las. Ao final do levantamento, o pesquisador apresentou diversas vulnerabilidades encontradas e que podem, inclusive, ser exploradas por cibercriminosos para acessar dados de pacientes.
Investigação apurada
Durante a análise conduzida por Lozhkin, foi descoberta uma vulnerabilidade na conexão Wi-Fi da clínica, que permitiu acesso à rede local por causa de um protocolo de comunicação fraco. Explorando a rede local, o especialista da Kaspersky Lab observou que alguns equipamentos médicos já tinham sido vistos no Shodan. Contudo, dessa vez, para obter acesso ao equipamento, não era necessário fornecer qualquer senha, pois a rede local aparecia como uma rede confiável para usuários e aplicativos de equipamentos médicos. Dessa maneira, um cibercriminoso teria acesso livre a todos os dispositivos médicos.
Continuando a investigação da rede, o especialista descobriu ainda uma vulnerabilidade no aplicativo de um dispositivo médico. Foi implementado na interface do usuário uma interface de linha de comando que permitia o acesso dos criminosos a informações pessoais dos pacientes, inclusive seu histórico clínico e informações de exames médicos, assim como seus endereços e detalhes de identificação. Além disso, todo o dispositivo controlado por esse aplicativo poderia ser comprometido. Por exemplo, entre esses dispositivos poderia haver tomógrafos de ressonância magnética, equipamento de cardiologia, radioativo e cirúrgico. Primeiro, os criminosos poderiam alterar a forma como o dispositivo funciona e causar danos físicos aos pacientes. Depois, poderiam danificar o próprio dispositivo, com custos enormes para o hospital.
“As clínicas não são mais formadas apenas por médicos e equipamentos médicos, eles contam agora com serviços de TI. A segurança interna de uma clínica afeta a proteção dos dados de pacientes e a funcionalidade de seus dispositivos. Os engenheiros de software e fabricantes de equipamentos médicos investem muito na criação de dispositivos capazes de salvar e proteger a vida das pessoas, mas, às vezes, esquecem completamente de protegê-los contra o acesso externo não autorizado. Quando se trata de novas tecnologias, os aspectos de segurança devem ser resolvidas na primeira fase do processo de pesquisa e desenvolvimento (P&D). As empresas de segurança poderiam ajudar nessa etapa para resolver os problemas “, conclui Sergey Lozhkin, pesquisador Kaspersky Lab.
Principais riscos
Um ataque cibernético contra organizações médicas pode usar diversas táticas e as consequências são diversas, tais como: o uso criminoso de dados pessoais de pacientes para revenda de informações a terceiros; exigência de um resgate financeiro para liberar o acesso às informações confidenciais sequestradas por um ransomware; falsificação intencional de resultados ou diagnósticos de pacientes; ou avarias nos equipamentos médicos, que podem causar tanto danos físicos aos pacientes quanto enormes prejuízos financeiros para a clínica. Sem falar no impacto negativo na reputação da organização que teve seus dados violados por um cibercriminoso.
(Com informações da assessoria de imprensa da Kaspersky Lab)