Black Hat Europe 2023: O passado pode voltar para assombrá-lo

Infraestrutura crítica

Os protocolos legados no setor da saúde apresentam perigos que podem tornar os hospitais extremamente vulneráveis ​​a ataques cibernéticos.

Tony Anscombe

08 Dec 2023  .  , 3 minutos. ler

Tenho certeza de que o setor de saúde continuará sendo um alvo significativo para os cibercriminosos devido ao enorme potencial que lhes proporciona para rentabilizar os seus esforços através de exigências de ransomware ou do abuso de dados exfiltrados de pacientes. A interrupção operacional e os dados confidenciais, como registros médicos, combinados com dados financeiros e de seguros oferecem um potencial ganho que simplesmente não existe em muitos outros ambientes.

No Black Hat Europe 2023, a questão dos protocolos legados utilizados por muitas organizações de saúde foi apresentada por uma equipa de Aplite GmbH. A questão dos protocolos legados não é novidade; houve vários casos em que equipamentos ou sistemas permaneceram em uso devido ao custo significativo associado à substituição, apesar de utilizarem protocolos não adequados para o ambiente conectado atual. Por exemplo, substituir um scanner de ressonância magnética pode custar até 500,000 dólares americanos e se a necessidade de substituir o dispositivo se dever a um aviso de fim de vida útil no software que opera o dispositivo, então o risco pode parecer aceitável dados os requisitos orçamentais.

Os problemas com DICOM

A equipe Aplite destacou problemas com o DICOM (imagem digital e comunicações em medicina), que é utilizado para o gerenciamento e transmissão de imagens médicas e dados relacionados.

O protocolo tem sido amplamente utilizado no setor de imagens médicas há mais de 30 anos e tem sido sujeito a muitas revisões e atualizações. Quando uma digitalização de imagens médicas é realizada, normalmente ela contém várias imagens; as imagens são agrupadas como uma série e os dados associados do paciente são então armazenados com a imagem, juntamente com quaisquer anotações da equipe médica do paciente, incluindo diagnósticos. Os dados são então acessíveis utilizando o protocolo DICOM através de soluções de software que permitem acesso, adição e modificação.

As versões legadas do DICOM não forçavam o uso de autorização para acessar os dados, permitindo que qualquer pessoa que pudesse estabelecer uma conexão com o servidor DICOM potencialmente acessasse ou modificasse os dados. A apresentação da Aplite detalhou que 3,806 servidores que executam DICOM são acessíveis publicamente pela Internet e contêm dados relativos a 59 milhões de pacientes, com pouco mais de 16 milhões deles incluindo informações identificáveis, como nome, data de nascimento, endereço ou número de segurança social.

O estudo constatou que apenas 1% dos servidores acessíveis via internet implementaram os mecanismos de autorização e autenticação disponíveis nas versões atuais do protocolo. É importante observar que as organizações que compreendem o risco associado e que tomaram medidas prévias podem ter removido os servidores do acesso público por segmentação em redes que possuem medidas de autenticação e segurança adequadas para proteger os dados médicos e de pacientes.

A saúde é um setor que possui legislação e regulamentações rígidas, como HIPPA (EUA), GDPR (UE), PIPEDA (Canadá), etc. Isso torna surpreendente que 18.2 milhões dos registros acessíveis nesses servidores públicos estejam localizados nos E.U.A.

Leitura relacionada: 5 razões pelas quais o GDPR foi um marco para a proteção de dados

Protegendo sistemas críticos

A uso indevido dos dados acessível a partir desses servidores acessíveis oferece grandes oportunidades aos cibercriminosos. Extorquir os pacientes devido à ameaça de divulgar publicamente os seus diagnósticos, modificar dados para criar diagnósticos falsos, exigir que os hospitais responsáveis ​​ou outros prestadores de cuidados de saúde resgatem os dados que foram alterados, abusar dos números de segurança social e das informações pessoais dos pacientes, ou usar essas informações informações em campanhas de spearphishing são apenas algumas maneiras possíveis pelas quais esses dados poderiam ser usados ​​para monetizar o crime cibernético.  

Edições de protegendo sistemas legados, que conhecem potenciais problemas de segurança, como o DICOM, devem estar no radar dos reguladores e legisladores. Se os órgãos reguladores que têm o poder de impor penalidades financeiras ou outras solicitarem especificamente a confirmação das organizações de que esses sistemas vulneráveis ​​possuem as medidas de segurança apropriadas para proteger dados médicos e pessoais, seria o motivador para aqueles que controlam tais sistemas protegerem eles.

Muitas indústrias sofrem com o fardo da substituição dispendiosa de sistemas legados, incluindo os de serviços públicos, médicos e marítimos, para citar apenas alguns. É importante que estes sistemas sejam substituídos ou, em situações em que possa ser demasiado complexo ou financeiramente difícil substituir os sistemas, então a acção apropriada devo ser tomadas para evitar que esses protocolos anteriores o assombrem.

Antes de você ir: RSA – A saúde digital encontra a segurança, mas isso realmente quer?