É inevitável que em algum momento de nossas vidas uma doença ou lesão nos mande para o hospital para sermos cuidados por um médico ou equipe de médicos. Embora os anos de escolaridade e prática nos façam confiar nos médicos, também temos de confiar nos dispositivos médicos de alta tecnologia que podem ajudar a identificar ou tratar o que nos aflige. Um subproduto disso é que também temos que confiar nossa segurança e bem-estar aos desenvolvedores de hardware e software, que criaram os equipamentos médicos usados ​​pelos médicos, bem como aos administradores de sistema que os ajustam.

Com o passar dos anos, o equipamento médico está se tornando cada vez mais complexo e interconectado e os hospitais estão cada vez mais lotados com esses dispositivos. Todos esses sensores e máquinas inteligentes requerem um software complexo. Como a cibersegurança geralmente não está entre as principais prioridades dos fabricantes de equipamentos médicos, esses dispositivos inevitavelmente apresentam falhas de segurança. E se houver bugs e vulnerabilidades, uma violação virá. Mas hackear hospitais é tão perigoso?

Então, o que há de errado com um hack de hospital?

Resposta de uma palavra: tudo

Em primeiro lugar, os cibercriminosos podem explorar vulnerabilidades de software para roubar dados de pacientes ou infectar a rede com malware (não é o pior cenário).

Os hackers também podem alterar os dados do prontuário eletrônico dos pacientes: transformar uma pessoa saudável em uma doente ou vice-versa, alterar alguns resultados de exames ou a intensidade da dose - e isso pode causar danos graves à saúde dos pacientes. Também é possível ajustar os dispositivos médicos de forma errada e, assim, quebrar equipamentos caros ou - mais uma vez - prejudicar os pacientes que se submetem ao tratamento com o auxílio dessas máquinas.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

Um dia Lozhkin estava usando o Shodan (este é o mecanismo de busca da Internet das Coisas) e finalmente encontrou o equipamento médico de um hospital, que parecia de alguma forma familiar - descobriu-se que pertencia a um amigo seu. Lozhkin explicou a situação ao dono e a dupla decidiu fazer um teste de penetração secreto, e descobrir se era possível alguém invadir o hospital.

Os dois combinaram que ninguém saberia sobre o teste além dos gerentes seniores. Os últimos protegeram pacientes reais e seus dados de qualquer dano potencial, causado pelo “hacker”.

A primeira tentativa falhou: Sergey não conseguiu hackear o hospital remotamente, pois, neste caso, os administradores do sistema trabalharam bem.

Mas então Sergey foi ao hospital e descobriu que podia se conectar ao Wi-Fi local, que não estava configurado corretamente. Ele conseguiu hackear a chave de rede e isso deu a ele acesso a praticamente tudo dentro, incluindo uma série de dispositivos para armazenamento e análise de dados. O aparelho que chamou a atenção de Sergey foi um caro scanner tomográfico, que também podia ser acessado de dentro da rede local. O dispositivo armazenava uma grande quantidade de dados sobre diferentes pacientes - fictícios (já que dados reais haviam sido previamente protegidos pela gerência).

Depois de explorar uma vulnerabilidade de aplicativo, Sergey acessou o sistema de arquivos e, correspondentemente, todos os dados disponíveis no scanner. Se Sergey fosse um verdadeiro cibercriminoso, a essa altura ele seria capaz de fazer quase tudo: alterar, roubar ou destruir os dados e até mesmo quebrar o scanner tomográfico.

Como medida temporária, Lozhkin recomendou a contratação de um administrador de sistema competente, que nunca teria conectado um scanner tomográfico e outros dispositivos importantes a uma rede pública. Mas esta não é uma solução real para o problema, pois os culpados aqui são, em primeiro lugar, os desenvolvedores desta máquina. Eles tinham que se preocupar mais com a segurança cibernética de seus produtos.

Quem é o culpado e o que devemos fazer?

O relatório de Lozhkin mostra o quanto precisa ser feito em termos de cibersegurança de equipamentos médicos. Existem dois grupos de pessoas que precisam se alarmar com essa questão, mais especificamente - os desenvolvedores de equipamentos médicos e os conselhos de administração dos hospitais.

Os desenvolvedores devem testar a segurança de seus dispositivos, procurar vulnerabilidades e garantir que todos tenham seus patches corrigidos em tempo hábil. Os grupos de gerenciamento devem se preocupar mais com a segurança da rede e ter certeza de que nenhum equipamento de infraestrutura crítica está conectado a qualquer rede pública.

E ambos os grupos realmente precisam de verificações de auditoria de segurança cibernética. Para hospitais, eles podem ser realizados como testes de penetração, para desenvolvedores - como todos os testes de segurança, que devem ser realizados antes da distribuição comercial de seus produtos.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.