0
0
Os hackers estão aumentando suas tentativas de entrar em empresas de saúde, colocando pressão adicional sobre uma indústria que já luta para controlar a pandemia do coronavírus.
Ameaças persistentes vêm de gangues de ransomware, golpistas financeiros e hackers apoiados por estados-nações, dizem os atuais e ex-chefes de segurança do hospital.
“Os registros e os gráficos mostram, oh, cara, isso aumentou, é difícil negar isso”, disse Christopher Stroud, gerente de tecnologia da Great Plains Health, um hospital com sede em North Platte, Nebraska, que atende cerca de 183.000 pacientes um mês.
O Great Plains Health normalmente bloqueia cerca de 10.000 tentativas de acessar seus servidores diariamente, disse Stroud. Depois de começar seus primeiros testes de drogas com anticorpos contra o coronavírus em novembro, viu esse número triplicar em média, disse ele. Alguns dias, as tentativas chegaram a 70.000.
Agências de inteligência nos Estados Unidos, Canadá e Europa advertiram repetidamente que hackers e cibercriminosos apoiados por Estados estão tentando invadir sistemas de saúde para roubar pesquisas relacionadas a vacinas e outros dados.
Um ex-especialista em segurança cibernética da Marinha dos Estados Unidos, Stroud vê as marcas dos atores do Estado-nação em alguns dos ataques contra seu hospital.
A blitz de hackers ocorre no momento em que o setor de saúde relatou um ano contundente de violações de dados em 2020, especialmente quando os efeitos da pandemia começaram a se instalar. A equipe de segurança e tecnologia em hospitais de repente teve que lidar com uma força de trabalho remota expandida, Covid- 19 pacientes lotando enfermarias e a criação de locais improvisados para testes de vírus.
“Foi uma segunda metade do ano terrível. Tem sido difícil para as organizações de saúde ”, disse Drex DeFord, consultor de saúde da Critical Informatics Inc., uma empresa de segurança cibernética também conhecida como CI Security. Ele também atuou anteriormente como diretor de informações da Scripps Health de San Diego e do Seattle Children’s Healthcare System.
Dados reportados ao Departamento de Saúde e Serviços Humanos dos Estados Unidos mostram que quase todo mês no ano passado mais de 1 milhão de pessoas foram afetadas por violações de dados em organizações de saúde.
De acordo com a Lei de Responsabilidade e Portabilidade de Seguros de Saúde, as organizações que lidam com dados de pacientes devem relatar violações envolvendo 500 pessoas ou mais ao HHS dentro de 60 dias.
Hospitais e clínicas citam uma variedade de razões para as violações, incluindo descarte impróprio de registros, roubo de dispositivos e desastres naturais. Hacking ou tecnologia comprometida, entretanto, são os principais culpados.
Alvos tentadores
Com a propagação da pandemia do coronavírus na primavera passada, os profissionais de saúde ficaram em uma posição difícil.
Além da necessidade de cuidar de um grande número de pacientes da Covid-19, os hospitais enfrentaram uma crise de receita devido ao cancelamento de procedimentos eletivos por causa do vírus e à realocação de recursos para esforços de resposta. A American Hospital Association estima que, entre março e junho, isso resultou em mais de US $ 200 bilhões em despesas relacionadas à Covid-19 e perda de receita, antes de contabilizar o alívio financeiro do governo.
Os hospitais não puderam ou não quiseram financiar projetos de segurança significativos exatamente no momento em que precisavam, disse Jared Phipps, vice-presidente sênior de engenharia de vendas mundial da fornecedora de segurança cibernética Sentinel Labs Inc.
Os ataques de ransomware, que bloqueiam sistemas ou dados vitais, são um flagelo específico, pois o tempo de inatividade pode ameaçar vidas. Promotores na Alemanha, por exemplo, investigaram recentemente se um ataque de ransomware em setembro contra um hospital em Düsseldorf contribuiu para a morte de uma mulher, depois que ela teve que ser encaminhada para outro estabelecimento para atendimento de emergência por causa do incidente.
O Departamento de Justiça em 27 de janeiro disse que havia coordenado com agências internacionais de aplicação da lei para interromper um grupo responsável por ransomware conhecido como NetWalker que tinha como alvo hospitais.
Os prestadores de cuidados de saúde costumam usar uma colcha de retalhos de sistemas de terceiros em vez de sua própria tecnologia, o que os expõe aos riscos da cadeia de suprimentos, disse Terry Ray, vice-presidente sênior e membro da empresa de segurança cibernética Imperva Inc.
Um ataque de ransomware no início do ano passado na Blackbaud Inc.,que fornece serviços em nuvem para hospitais, escolas e outras organizações sem fins lucrativos, comprometeu os dados de centenas de clientes. Em setembro, as instalações médicas relataram ao HHS que quase 10 milhões de pessoas tiveram suas informações violadas. Pelo menos 46 citaram o episódio Blackbaud em cartas aos reguladores estaduais.
“Quando isso acontece, infelizmente, a organização de saúde acaba na parede da vergonha, não o fornecedor”, disse DeFord, da Critical Informatics.
Hospital Hacks
Pontos de vulnerabilidade que os atacantes costumam explorar
Um porta-voz da Blackbaud disse que a empresa lamenta o incidente. “Já implementamos mudanças para evitar que esse problema específico aconteça novamente”, disse o representante.
Alguns hospitais toleraram medidas de segurança negligentes por muito tempo, disse Austin Berglas, chefe global de serviços profissionais da empresa de segurança cibernética BlueVoyant LLC e ex-especialista em segurança cibernética do Federal Bureau of Investigation.
As organizações de saúde frequentemente negligenciam os fundamentos da segurança cibernética, como o uso de autenticação de dois fatores e a execução dos sistemas operacionais mais recentes, disse ele. Ele viu alguns hospitais deixarem informações confidenciais em servidores desprotegidos, já que a segurança cibernética não é vista como uma prioridade e nem sempre recebe financiamento suficiente.
Dispositivos conectados à Internet em hospitais também trazem riscos porque às vezes não são projetados com a segurança em mente, disse ele. “Não estamos nem pedindo ao adversário para trazer seu melhor jogo para entrar lá”, disse ele.
Para o Sr. Stroud da Great Plains Health, os riscos não são teóricos, mas pessoais. O hospital foi vítima de um ataque de ransomware em novembro de 2019 e, embora ele tenha dito que não precisava mandar os pacientes embora e conseguisse se recuperar rapidamente, a experiência lhe mostrou que a falta de investimento em segurança cibernética no setor de saúde pode levar ao desastre.
“Eu trabalho para o hospital que eu vou, que meus pais vão, e que meus filhos vão. E então você realmente quer a melhor [tecnologia] em qualquer lugar que você vá, porque no final do dia “, disse ele,” poderia ser você naquela cama “.
FONTE: THE WALL STREET JOURNAL