Ondsinnede medisinske maskiner? legenes enheter og data under angrep fra hackere

Selv om leger har sverget å ikke gjøre noen skade, ser det ikke ut til at det stemmer for utstyret eller nettverkene de bruker for å administrere omsorg. I følge en ny rapport fra SANS-forskningsorganisasjonen og norrønt, er det allerede medisinske tilbydere som bukker under for nettangrep i hopetall. Studien fant 49 917 unike ondsinnede hendelser fra helsepersonell de profilerte, og ikke bekymre deg: det blir verre.

Livreddere gjorde det ondt

Rapporten fant at mange nettverksmedisinske enheter lett ble overtatt av hackere. Disse inkluderer programvare for avbildning av radiologi, videokonferansesystemer, digitale videosystemer, programvare for samtalekontakt og sikkerhetssystemer. Selv enheter som var ment å hjelpe skjoldorganisasjoner, som VPN-er, brannmurer og rutere, ble kapret.

Rapporten fant at medisinsk utstyr og programvare blir et favorittmål for hackere for å sette i gang andre angrep - enten på samme nettverk eller på andre mål. Fra rapporten: "Når de er kompromittert, er disse nettverkene ikke bare sårbare for brudd, men også tilgjengelige for å brukes til angrep som phishing, DDoS og uredelige aktiviteter som er lansert mot andre nettverk og ofre."

"En av de største grunnene til at vi ser infrastrukturen for sykehus som brukes som lanseringsplattformer for annen nettkriminalitet og hacks, er fordi mange av disse enhetene er stumme enheter, " sa den norrøne CTO og medgründer Tommy Stiansen. "De er ikke stasjonære maskiner eller servere, men de kjører alle Linux." Vi har allerede sett hvordan noen enheter, spesielt nettverkede videokameraer, kan brukes til å få fotfeste i offerets nettverk og forårsake alle slags kaos.

Til tross for deres evner, er medisinsk utstyr og overvåkningskameraer ikke ansett som en del av sikkerhetsarkitekturen, forklarte administrerende direktør og medgründer Sam Glines. "Et dokument som ble oppdaget av crawlerne våre for et større sykehus, hadde samme brukernavn og passord for alt, " sa han. Dette inkluderte livreddende enheter som dialyseutstyr. Husk at Internett fremdeles er i rute for å drepe deg innen 2014.

Som for å demonstrere omfanget av problemet, nevnte Stiansen at de først ble interessert i dette prosjektet da de observerte kredittkortinformasjon som ble overført av medisinsk utstyr. "Hvis noen lar døra stå åpen, vil hackere komme, " sa Stiansen.

Mer verdifulle data

I tillegg til usikrede enheter og programvare som brukes av sykehus er et enda større problem: stjålet medisinske data. Helsepersonell på alle nivåer har ekstremt verdifulle personopplysninger til rådighet, og det er den informasjonen angripere er desperate etter å få tak i.

Årsaken, forklarte Stiansen, er enkel: "Du kan utføre mer svindel med det, da kan du gjøre det med kredittkortdata." En angriper kan raskt tjene penger på medisinsk data, forklarte han, gjennom veier som Medicare eller reseptbelagt svindel. I tillegg til medisinsk informasjon er åndsverk og faktureringsinformasjon som er lagret av helsepersonell også utsatt.

I tillegg til den åpenbare innvirkningen på enkeltpersoner forårsaket av å ha stjålet dataene dine, peker rapporten også på at denne svindelen fører til at prisen på helsetjenester blir enda høyere. Rapporten siterer en Ponemon-repot fra i fjor som estimerte kostnadene for overføring og medisinsk svindel til rundt 12 milliarder dollar.

Slik løser du det

Det er klart, helseorganisasjoner trenger å bli seriøse med å sikre nettverk og enheter, selv på et grunnleggende nivå. "Betrakt alt med en IP-adresse som et kritisk sluttpunkt, " sa Glines, som fortsatte med å si at sterkere passordprotokoller for alt fra medisinsk utstyr til brannmurer vil forbedre situasjonen.

Ny lovgivning kan også oppmuntre til bedre atferd. Glines pekte på EUs lover om at fine selskaper en prosentandel av inntektene deres når et brudd oppstår eller tap av data finner sted. Selv om HIPAA er ment å gi beskyttelse, fastholdt norrøn at etterlevelse rett og slett ikke tilsvarer sikkerhet.

Men det er en rolle for vanlige mennesker også. Stiansen oppfordret pasienter til å avhøre sin helsepersonell om cybersikkerhet. Glines var enig i å si: "Forbrukerne er de som har mest å tape. De har rett til å spørre hvordan journalene deres blir opprettholdt og hva slags sikkerhetsprosedyrer som er på plass."