Máy y tế độc hại? thiết bị và dữ liệu của bác sĩ bị tấn công từ tin tặc

Mặc dù các bác sĩ đã tuyên thệ không gây hại, nhưng điều tương tự dường như không đúng đối với thiết bị hoặc mạng mà họ sử dụng để quản lý chăm sóc. Theo một báo cáo mới từ tổ chức nghiên cứu Sans và Norse, các nhà cung cấp dịch vụ y tế đã chịu khuất phục trước các cuộc tấn công mạng trong lũ người. Nghiên cứu đã tìm thấy 49.917 sự kiện độc hại độc đáo từ các nhà cung cấp dịch vụ chăm sóc sức khỏe mà họ đã mô tả và đừng lo lắng: nó trở nên tồi tệ hơn.

Người cứu mạng biến thành ác quỷ

Báo cáo cho thấy nhiều thiết bị y tế nối mạng dễ dàng bị tin tặc chiếm đoạt. Chúng bao gồm phần mềm hình ảnh X quang, hệ thống hội nghị video, hệ thống video kỹ thuật số, phần mềm liên lạc cuộc gọi và hệ thống bảo mật. Ngay cả các thiết bị nhằm giúp che chắn các tổ chức, như VPN, tường lửa và bộ định tuyến, đã bị tấn công.

Báo cáo cho thấy các thiết bị và phần mềm y tế đang trở thành mục tiêu ưa thích của tin tặc khi tung ra các cuộc tấn công khác, trên cùng một mạng hoặc trên các mục tiêu khác. Từ báo cáo: "Một khi bị xâm phạm, các mạng này không chỉ dễ bị vi phạm mà còn có thể được sử dụng cho các cuộc tấn công như lừa đảo, DDoS và các hoạt động lừa đảo được phát động chống lại các mạng và nạn nhân khác."

"Một trong những lý do lớn nhất mà chúng tôi thấy cơ sở hạ tầng cho các bệnh viện đang được sử dụng làm bệ phóng cho các tội phạm mạng và hack khác là vì rất nhiều thiết bị này là thiết bị câm", Norse CTO và đồng sáng lập Tommy Stiansen nói. "Chúng không phải là máy tính để bàn hoặc máy chủ, nhưng tất cả chúng đều chạy Linux." Chúng ta đã thấy làm thế nào một số thiết bị, đặc biệt là máy quay video được nối mạng có thể được sử dụng để có chỗ đứng trên mạng của nạn nhân và gây ra tất cả các loại tình trạng hỗn loạn.

Mặc dù khả năng của họ, thiết bị y tế và camera giám sát không được coi là một phần của kiến ​​trúc an ninh, Sam Glines, CEO và đồng sáng lập giải thích. "Một tài liệu được phát hiện bởi các trình thu thập thông tin của chúng tôi cho một bệnh viện lớn có cùng tên người dùng và mật khẩu cho tất cả mọi thứ", ông nói. Điều này bao gồm các thiết bị cứu sinh như thiết bị lọc máu. Hãy nhớ rằng Internet vẫn đang đi đúng hướng để giết bạn vào năm 2014.

Như để chứng minh phạm vi của vấn đề, Stiansen đã đề cập rằng lần đầu tiên họ quan tâm đến dự án này khi họ quan sát thông tin thẻ tín dụng được truyền bởi các thiết bị y tế. "Nếu ai đó mở cửa, tin tặc sẽ đến, " Stiansen nói.

Dữ liệu có giá trị hơn

Ngoài các thiết bị và phần mềm không bảo mật được sử dụng bởi các bệnh viện còn là một vấn đề lớn hơn: dữ liệu y tế bị đánh cắp. Các nhà cung cấp dịch vụ chăm sóc sức khỏe ở tất cả các cấp đều có dữ liệu cá nhân cực kỳ quý giá theo ý của họ và đó là thông tin mà những kẻ tấn công đang mong muốn có được.

Lý do, Stiansen giải thích, rất đơn giản: "Bạn có thể thực hiện nhiều vụ lừa đảo hơn với nó sau đó bạn có thể với dữ liệu thẻ tín dụng." Kẻ tấn công có thể nhanh chóng kiếm tiền từ dữ liệu y tế, thông qua các con đường như Medicare hoặc gian lận theo toa. Ngoài thông tin y tế, tài sản trí tuệ và thông tin thanh toán được lưu trữ bởi các nhà cung cấp dịch vụ chăm sóc sức khỏe cũng có nguy cơ.

Ngoài tác động rõ ràng đối với các cá nhân gây ra bởi việc đánh cắp dữ liệu của bạn, báo cáo cũng chỉ ra rằng sự gian lận này khiến giá chăm sóc sức khỏe còn cao hơn. Báo cáo trích dẫn một repot Ponemon từ năm ngoái, ước tính chi phí cho sự thiếu sót và gian lận y tế vào khoảng 12 tỷ đô la.

Cách khắc phục

Rõ ràng, các tổ chức chăm sóc sức khỏe cần nghiêm túc trong việc bảo mật mạng và thiết bị của họ, ngay cả ở mức cơ bản. "Hãy coi mọi thứ có địa chỉ IP là một điểm cuối quan trọng", Glines, người tiếp tục nói rằng các giao thức mật khẩu mạnh hơn cho mọi thứ từ thiết bị y tế đến tường lửa sẽ cải thiện tình hình.

Pháp luật mới cũng có thể khuyến khích hành vi tốt hơn. Glines chỉ ra luật pháp của Liên minh châu Âu rằng các công ty tốt sẽ chia phần trăm doanh thu của họ khi vi phạm xảy ra hoặc mất dữ liệu. Mặc dù HIPAA có ý định cung cấp sự bảo vệ, Norse vẫn cho rằng việc tuân thủ đơn giản là không đánh đồng bảo mật.

Nhưng cũng có một vai trò cho những người bình thường. Stiansen khuyến khích bệnh nhân đặt câu hỏi cho nhà cung cấp dịch vụ chăm sóc sức khỏe của họ về an ninh mạng. Glines đồng ý rằng, "người tiêu dùng là những người mất nhiều nhất. Họ có quyền hỏi hồ sơ của họ được duy trì như thế nào và loại thủ tục bảo mật nào được thực hiện."