Uma recente violação de dados no Community Health Systems ilustrou o risco real e real representado por dispositivos médicos conectados quando supostos hackers chineses roubaram informações médicas confidenciais de cerca de 4,5 milhões de pessoas.

Lembra do Heartbleed?

Uma vulnerabilidade no OpenSSL , apelidada de Heartbleed, surgiu no início deste ano. Afetou talvez mais de 60 por cento da Internet de uma só vez e, teoricamente, poderia dar a um invasor a capacidade de roubar uma certa quantidade de informações durante uma conexão cliente-servidor. Bem, esta pode ser a primeira instância do mundo real amplamente divulgada de criminosos ou atores do estado explorando a vulnerabilidade de quase toda a Internet para ganho pessoal. Especificamente, os invasores desenvolveram um exploit que lhes permitiu usar o Heartbleed para roubar credenciais de login para Community Health Systems.

Quem é afetado? Como isso aconteceu?

Em particular, essa violação expôs as informações não médicas e de não pagamento de 4,5 milhões de pacientes que foram encaminhados ou receberam serviços de médicos afiliados ao Community Health Systems nos últimos cinco anos. Embora nenhum dado médico tenha sido exposto, o que é bom, os números da Previdência Social (SSNs) foram expostos, o que é obviamente ruim. Além dos SSNs, os invasores fugiram com os nomes dos pacientes, endereços, datas de nascimento e, em alguns casos, empregadores ou fiadores dos pacientes e números de telefone.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

O lado bom aqui pode ser que os invasores, nesse caso, eram atores avançados de ameaças persistentes. Eles provavelmente não estavam procurando por SSNs de consumidor. Na verdade, vários especialistas da empresa de segurança Crowdstrike e de outros lugares dizem que os invasores provavelmente buscaram propriedade intelectual relacionada a sistemas médicos que a República Popular poderia usar para cuidar de sua população idosa.

Nesse esforço, o “APT 18” (também conhecido como “Dynamite Panda”) falhou. Dito isso, é difícil dizer o que eles farão com esse vasto estoque de informações confidenciais.

Um problema maior

No entanto, o problema das violações de dados de saúde já existe há anos e não vai melhorar tão cedo. Aqui está o porquê:

Quando falamos sobre segurança de dispositivos médicos, tendemos a falar sobre o fantástico e o sombrio; histórias de hackear bombas de insulina e marca-passos remotamente , mutilar e assassinar com laptops. Felizmente para qualquer pessoa com condição médica persistente tratada por um dispositivo médico integrado e / ou conectado, a probabilidade de assassinato por laptop - como aprendi em um briefing recente do Black Hat - é efetivamente inexistente. Na verdade, o especialista em segurança de dispositivos médicos do Rapid7, Jay Radcliffe, disse que esses dispositivos médicos conectados fazem muito mais bem do que mal.

O problema, por enquanto, parece ser mais sistêmico e crescente. Está mais relacionado à maneira como médicos, hospitais e até mesmo dispositivos médicos armazenam, compartilham e tornam os dados acessíveis. Como foi apontado em uma discussão com Radcliffe, o cenário mais provável através do qual um dispositivo médico conectado poderia impactar a segurança pessoal seria se um paciente fosse tratado indevidamente devido a registros médicos que foram adulterados ou alterados - seja por hacking ou acidente.

O problema das violações de dados de saúde já existe há anos e não vai melhorar tão cedo. Em uma entrevista no NPR's Fresh Air com Terry Gross no início desta semana, o Dr. Sandeep Jauhar, um cardiologista e autor, sugeriu que grande parte da razão pela qual a saúde dos EUA fica atrás de outras no mundo é devido à falta de compartilhamento de informações o país. Assim, para melhorar o sistema de saúde dos EUA - e entrar em conformidade com a Lei de Cuidados Acessíveis - será necessário mais conectividade entre dispositivos médicos, mais comunicações entre prestadores de serviços de saúde, mais acesso remoto aos dados e, muito provavelmente, mais exposição de informações de saúde sensíveis. E isso está apenas na declaração de Juahar dos Estados Unidos que implica que esse tipo de compartilhamento de dados já está acontecendo em países com sistemas de saúde mais avançados, apenas perpetuando o problema.

Isso não quer dizer que tudo esteja perdido. A Lei de Portabilidade e Responsabilidade de Seguro Saúde (HIPAA) foi projetada em parte para proteger a segurança e a privacidade das informações de saúde do consumidor. Hospitais e fabricantes têm diretrizes que devem seguir para estar em conformidade com a HIPAA. Infelizmente, as violações de dados são quase inevitáveis ​​e nenhum plano de segurança é perfeito. Todos - independentemente do quanto tentem - acabam comprometidos.

E se você for afetado e como saberia?

O Community Health Systems está enviando notificações para qualquer pessoa cujas informações foram expostas no ataque. Então, o que você deve fazer se receber uma dessas cartas? Recomendamos que você se inscreva imediatamente nos serviços de monitoramento de crédito, que o Community Health Systems oferecerá gratuitamente a todas as vítimas. A carta de notificação de violação conterá instruções sobre como se inscrever.

Além disso, você vai querer monitorar seu relatório de crédito por conta própria para ter certeza de que ninguém está usando seu SSN para tirar linhas de crédito. A página de notificação de violação do Community Health Systems contém informações de contato, portanto, você deve entrar em contato com eles se tiver mais perguntas.

Por último, a Federal Trade Commission tem um site inteiramente dedicado a orientar as pessoas no processo de reação ao roubo de identidade . Se alguma vez você estiver preocupado com o roubo de identidade, esse site é um ótimo lugar para começar.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.