Ataques cibernéticos na área da saúde: como acontecem e o que você pode fazer

Os estabelecimentos de saúde são bons alvos para os hackers por vários motivos, o principal deles é o tesouro de informações detalhadas dos pacientes que eles armazenam. Para os cibercriminosos, exfiltrar com sucesso os dados do paciente é como encontrar um pote de ouro. Para as instalações e pacientes afetados por hacks, a experiência é um pesadelo.

Você não esqueceria a experiência ruim rapidamente, mas pode reduzir sua exposição ou até mesmo evitar ataques completamente.

O cenário dos ataques cibernéticos na área da saúde

Os ataques cibernéticos em instalações de saúde não são novos. Em 2017, o ransomware WannaCry quase puxou o tapete debaixo do Serviço Nacional de Saúde do Reino Unido. O ataque cibernético causou polêmica, mas o NHS não era o alvo principal dos criminosos. Os cibercriminosos, no entanto, parecem ter aprendido que as instalações de saúde são fáceis de encontrar. Em 2021, o

Escritório de Assuntos Públicos relatou que um grupo de hackers lançou um ataque cibernético coordenado em mais de 1.500 hospitais, escolas e empresas financeiras.

Ransomware e phishing são os métodos comuns que os hackers usam nesses ataques: phishing para obter acesso privilegiado aos servidores; e ransomware para bloquear as instalações e espremê-los por dinheiro.

Em comparação com empresas de tecnologia que também lidam com dados valiosos de clientes, as unidades de saúde são alvos fáceis, principalmente porque os hackers têm vários pontos de entrada. Além disso, como as consequências de seus ataques atrapalham vidas, os hackers esperam que o gerenciamento ceda rapidamente.

Como acontece a maioria dos ataques cibernéticos na área da saúde

O principal ponto de entrada dos hackers são os e-mails de phishing enviados para a equipe de saúde. Embora os hackers prefiram atingir a equipe com acesso de nível administrativo, praticamente qualquer membro da equipe o fará. O primeiro objetivo é comprometer o dispositivo da pessoa, induzindo-a a baixar o malware anexado ao e-mail. O truque de phishing também pode ser fazer com que eles cliquem em um link inválido e insiram suas credenciais de login em um painel falso.

Agora que o malware está no dispositivo comprometido da equipe, o próximo objetivo é colocá-lo na rede da instalação. Isso geralmente acontece quando o dispositivo comprometido se conecta a dispositivos inseguros ou mal protegidos na rede. A conexão pode acontecer via WLAN, Bluetooth, protocolo de transferência de arquivos ou até mesmo conectando uma unidade USB.

Uma vez que o malware está na rede da instalação, ele executa sua carga útil e estabelece um Sistema de Comando e Controle com o invasor. Com esse backdoor aberto, os hackers podem se mover lateralmente e se estabelecer — comprometer mais servidores e criar outros backdoors na rede para futuros ataques.

Por que os hackers atacam as instalações de saúde

Tudo se resume a dinheiro e identidade. Os hackers não estão interessados ​​em saber quem extraiu um dente ou como é um raio-X. O objetivo é obter informações pessoais e registros vitais dos pacientes. Isso inclui nome completo, histórico de endereço, detalhes do cartão, CPF, biometria, certidão de nascimento, certidão de óbito e muito mais.

Com essas informações, é possível roubar a identidade de uma pessoa e usá-la para fazer empréstimos, abrir contas bancárias ou até mesmo se passar por alguém ao se corresponder com prestadores de serviços. Os cibercriminosos também podem usar registros vitais, como certidões de óbito, para realizar fraudes em benefícios públicos. Para hackers que não estão interessados ​​em usar dados roubados, há demanda no mercado negro (ou mesmo dark web).

Mas monetizar dados de pacientes roubados nem sempre é um passeio no parque. Portanto, os hackers geralmente preferem obrigar a administração do hospital a pagar um resgate. Eles forçam as instalações a pagar criptografando arquivos e bloqueando seus funcionários de dispositivos nos quais eles dependem fortemente para acessar informações do paciente e fornecer atendimento.

Nesses momentos, os executivos de saúde são pegos na ressaca. Eles têm que escolher entre pagar o resgate e possivelmente ser multados pelo governo (conforme o Tesouro dos EUA) ou enfrentando processos de pacientes cujos dados vazaram. Não é incomum que a administração capitule e escolha a opção que protege a imagem de sua marca e custa menos dinheiro. Muitas vezes, é a falta de dinheiro que faz com que as instituições de saúde não implementem medidas de segurança adequadas em primeiro lugar...

Como você pode proteger os dados de saúde de hackers

Os hospitais estão no centro dos ataques cibernéticos à saúde, mas o alvo provavelmente se expandirá para empresas de tecnologia com produtos que coletam dados de saúde, como smartwatches. Aqui estão as coisas que você, um administrador de estabelecimento de saúde, profissional de saúde ou alguém que usa serviços de saúde, pode fazer para reduzir seus riscos.

Atualizar hardware antigo e corrigir software desatualizado

Muitos estabelecimentos de saúde ainda usam computadores que executam versões herdadas dos sistemas operacionais Windows, como o Windows 7 e o Windows XP. O suporte para sistemas operacionais legados terminou, o que significa que os hackers podem explorar facilmente as vulnerabilidades existentes. Mas mesmo os novos modelos de computador que executam a versão mais recente do sistema operacional Windows não são invencíveis. No entanto, eles são melhores porque têm suporte ao desenvolvedor. Você pode esperar receber atualizações de segurança que corrigem falhas, geralmente antes que os hackers possam explorá-las.

Além disso, muitas instalações dependem de empresas terceirizadas que fornecem equipamentos e software de nicho. O uso de tantos provedores aumenta os pontos de entrada para hackers, porque tudo está conectado. Ao confiar em produtos ou serviços de nicho, é melhor patrocinar empresas com histórico de melhoria de suas mercadorias.

Em um setor onde os orçamentistas priorizam consumíveis e folha de pagamento, pode ser um desafio alocar fundos para a substituição de hardware antigo, embora em funcionamento. No entanto, a perda potencial de ataques cibernéticos torna isso uma despesa necessária.

Contrate uma equipe azul ou vermelha

O departamento de TI das unidades de saúde é o principal responsável pela manutenção do software clínico e pela solução de problemas de hardware com falha. Esses departamentos normalmente são enxutos, com poucos membros da equipe com habilidades ou conhecimento para prevenir ataques cibernéticos. Nesses casos, considere contratar uma equipe azul, vermelha ou roxa para avaliar a postura de cibersegurança da sua organização.

Os analistas de segurança cibernética valem a pena. Uma equipe pode recomendar ou implementar protocolos de criptografia que tornam seus arquivos inúteis para hackers, mesmo que eles penetrem em sua rede. Além disso, eles podem configurar tecnologia de engano para ganhar tempo para seu departamento de TI lidar com ataques cibernéticos antes que eles prejudiquem seus sistemas.

Siga as melhores práticas de segurança cibernética para proteção de dados

Nós recomendamos práticas de segurança de endpoint, especialmente acesso à rede de confiança zero e regulação do acesso à porta USB. Enquanto isso, se você precisar usar um dispositivo, como um telefone, que geralmente se conecta à rede da instalação, considere ter um exclusivamente dedicado ao trabalho. Evite integrar profundamente esse dispositivo à sua rede doméstica, pois ele pode transmitir malware do trabalho para sua casa.

Dito isso, se você usa aplicativos móveis, recomendamos compartilhar a menor quantidade de dados possível. Uma maneira de limitar a quantidade de dados que um dispositivo coleta é usar um que armazene seus dados localmente, em vez de um que os envie para a nuvem de uma empresa. Se você usa dispositivos que ajudam seu médico a monitorar sua saúde remotamente, peça um com criptografia ponta a ponta avançada para proteção de dados.

Qual é o futuro para a segurança da saúde?

Os profissionais de saúde dependem fortemente de equipamentos digitais para oferecer atendimento de qualidade. Os apagões causados ​​por ataques cibernéticos podem rapidamente se transformar em caos, como a matéria atingindo um oscilador. O efeito dos ataques vai piorar no futuro à medida que a geração de profissionais familiarizados com caneta, papel e equipamentos analógicos se aposentar. No entanto, é possível reduzir seu risco fortalecendo sua segurança cibernética.