En los últimos años, ya hemos asistido a varios incidentes de seguridad que han afectado a hospitales y equipos médicos, como el ataque de ransomware a un hospital de Los Ángeles y dos de Alemania, una intrusión al monitor y dosificador de medicinas de un paciente y otro ataque a un hospital de Melbourne, entre otros muchos casos. Sin olvidar WannaCry que este año puso en jaque a todo el sistema de salud de UK.
Para nosotros, estos ataques no son una sorpresa. La industria de Internet de las Cosas está creciendo y la seguridad de los sistemas y dispositivos médicos es uno de los temas que más inquieta, ya que son dispositivos que incluyen sistema operativo y una serie de aplicaciones; la mayoría están conectados a Internet, a redes externas y a diferentes tipos de servidores en la nube. Cuentan con tecnologías de última generación con un único fin: ayudar a tratar a pacientes con la mejor calidad posible. Pero, al igual que cualquier otra infraestructura informática, los dispositivos médicos están construidos con el objetivo de ayudar en el desarrollo de las ciencias médicas, dejando la seguridad informática en segundo o hasta tercer plano. La seguridad de estos dispositivos tiene que estar presente desde el principio, los fabricantes no pueden obviar sus debilidades y deben construir dispositivos seguros, capaces de evolucionar y hacer frente a las nuevas amenazas.
Graves consecuencias
El acceso no autorizado a estos dispositivos podría tener efectos muy graves: no sólo pone los datos personales al alcance de los ciberdelincuentes, sino que también podría afectar de forma directa la salud y hasta a las vidas de los pacientes. A veces asusta lo fácil que es irrumpir en los sistemas de un hospital, robar la información personal de un dispositivo médico o acceder a él para entrar en el sistema de archivos, interfaz del usuario, etc. En un ataque, los cibercriminales podrían tener acceso total a la infraestructura médica de un centro y manipular los resultados de los sistemas de diagnosis o tratamiento. En muchos casos, los doctores dependen mucho de estos sistemas, por lo que su manipulación podría derivar en tratamientos erróneos en un paciente.
Además, se podría dar el caso de un uso criminal de los datos personales del paciente como la re-venta de información a terceros o exigir a la clínica el pago de un rescate para recuperar la información sensible robada; la falsificación de los resultados del paciente o sus diagnósticos; daño físico a los pacientes y enormes pérdidas financieras a una clínica; incluso terminar impactando negativamente en la reputación de los centros.
En el último año hemos visto un aumento de los ataques a centros médicos, que incluyen ataques dirigidos, infecciones de ransomware, ataques distribuidos de denegación de servicio e incluso algunos que pueden causar daño físico a los dispositivos médicos. Es sencillo conseguir acceso a las redes internas de un hospital y tomar el control de un aparato de resonancia magnética para acceder al sistema de ficheros del dispositivo y obtener los datos personales de sus pacientes y la información sobre sus tratamientos. El problema supera la inseguridad de los equipos médicos – toda la infraestructura informática de los hospitales modernos tiene problemas de organización y protección, y esta situación tiene un alcance mundial.
Los tres principales fallos detectados en algunos centros de salud son:
El acceso a Internet con poca o ninguna autorización: existen varias formas de detectar vulnerabilidades en los equipos; por ejemplo, usando el motor de búsqueda Shodan. Si se utiliza bien esta herramienta, se pueden encontrar miles de dispositivos médicos expuestos en Internet: es así como un hacker puede descubrir escáneres de resonancia magnética, equipos de cardiología y aparatos de radiología conectados a la red. Muchos de estos dispositivos siguen operando con Windows XP y tienen decenas de vulnerabilidades viejas sin parchear que podrían comprometer por completo un sistema remoto. Es más, algunos equipos todavía usan las contraseñas predeterminadas del fabricante, que son fáciles de encontrar en manuales publicados en la red.
Dispositivos no protegidos: se descubrieron varios puntos de acceso Wi-Fi en algunos hospitales analizados. Uno de ellos tenía una contraseña débil que se pudo crackear en dos horas, entrar en la red interna del hospital y encontrar los mismos equipos médicos que se habían descubierto por Internet, pero con una gran diferencia: ahora sí era posible conectarse a ellos porque la red local era de confianza. Los fabricantes de dispositivos médicos, cuando crean un sistema completo, los protegen del acceso interno. Pero por alguna razón creyeron que cualquiera que tratase de acceder a ellos desde dentro es de confianza. Este es un gran error: no hay depositar toda la confianza en los administradores del sistema y en su forma de organizar la protección interna de las redes de un hospital.
Vulnerabilidades en la arquitectura de los programas: otro factor que influye en las vulnerabilidades de las aplicaciones utilizadas son las versiones obsoletas de sistemas operativos y las dificultades en la gestión de los parches. Este es un entorno muy diferente al de la estructura informática estándar de PCs o dispositivos móviles; no se puede instalar un parche en un dispositivo médico con la misma facilidad. Es un proceso manual complejo y, en muchos casos, se necesita a un ingeniero cualificado en el hospital que ayude a actualizar el sistema y evaluar que los dispositivos estén funcionando como es debido después de la actualización. Esto consume tiempo y dinero, por lo que es esencial crear un sistema bien protegido desde el principio – en la etapa de desarrollo – que tenga aplicaciones con la menor cantidad de vulnerabilidades posible.
Consejos Kaspersky Lab para el personal informático de los hospitales:
– Cumplir todas las políticas de seguridad informática y desarrollar estrategias para evaluar vulnerabilidades y administrar parches a tiempo.
– No centrarse sólo en proteger su infraestructura de los ataques externos; también es necesario mantener un control estricto de las actividades internas de la red local: es primordial saber quién tiene acceso a qué, y otros detalles que podrían afectar los sistemas locales.
– Utilizar contraseñas seguras para proteger todos los puntos de conexión externos;
– Proteger las aplicaciones de equipos médicos en la red local con las contraseñas en caso de un acceso no autorizado a la zona de confianza;
– Proteger la infraestructura de amenazas como el malware y ataques de hackers con una solución de seguridad fiable;
– Hacer copia de seguridad de la información crítica con regularidad y mantener una copia online adicional
– Formar y concienciar a todo el personal del hospital sobre los peligros de las ciberamenazas y cómo hacerles frente.
