0
0
Centenas de servidores de computador em todo o mundo que armazenam raios-X e ressonância magnética de pacientes são tão inseguros que qualquer pessoa com um navegador da Web ou algumas linhas de código de computador pode visualizar os registros dos pacientes. Um especialista alertou sobre isso por anos.
Imagens médicas e dados de saúde pertencentes a milhões de americanos, incluindo raios-X, ressonância magnética e tomografia computadorizada, estão desprotegidos na Internet e disponíveis para qualquer pessoa com conhecimentos básicos de informática.
Os registros abrangem mais de 5 milhões de pacientes nos EUA e milhões em todo o mundo. Em alguns casos, um bisbilhoteiro pode usar programas de software livre – ou apenas um navegador da Web típico – para visualizar as imagens e os dados privados, segundo uma investigação da ProPublica e da emissora alemã Bayerischer Rundfunk.
Identificamos 187 servidores – computadores usados para armazenar e recuperar dados médicos – nos EUA, desprotegidos por senhas ou precauções básicas de segurança. Os sistemas de computador, da Flórida à Califórnia, são usados em consultórios médicos, centros de imagens médicas e serviços de raio-x móveis.
Os servidores inseguros que descobrimos são adicionados a uma lista crescente de sistemas de registros médicos que foram comprometidos nos últimos anos. Ao contrário de algumas das mais recentes infames violações de segurança, nas quais os hackers contornavam as defesas cibernéticas de uma empresa, esses registros eram frequentemente armazenados em servidores que não possuíam as precauções de segurança que há muito tempo se tornaram padrão para empresas e órgãos governamentais.
“Não é nem pirataria. Está entrando pela porta aberta ”, disse Jackie Singh, pesquisadora de segurança cibernética e diretora executiva da consultoria Spyglass Security. Alguns prestadores de serviços médicos começaram a bloquear seus sistemas depois que lhes dissemos o que havíamos encontrado.
Nossa revisão constatou que a extensão da exposição varia, dependendo do profissional de saúde e de qual software ele usa. Por exemplo, o servidor da empresa americana MobilexUSA exibiu os nomes de mais de um milhão de pacientes – todos digitando uma simples consulta de dados. Suas datas de nascimento, médicos e procedimentos também foram incluídos.
Alertado pela ProPublica, o MobilexUSA aumentou sua segurança na semana passada. A empresa faz radiografias móveis e fornece serviços de imagem para asilos, hospitais de reabilitação, agências de cuidados paliativos e prisões. “Atenuamos prontamente as possíveis vulnerabilidades identificadas pelo ProPublica e imediatamente iniciamos uma investigação contínua e completa”, afirmou a empresa controladora da MobilexUSA em comunicado.
Outro sistema de imagens, vinculado a um médico em Los Angeles, permitia que qualquer pessoa na internet visse o ecocardiograma de seus pacientes. (O médico não respondeu às perguntas do ProPublica.)
No total, os dados médicos de mais de 16 milhões de exames em todo o mundo estavam disponíveis on-line, incluindo nomes, datas de nascimento e, em alguns casos, números do Seguro Social.
Especialistas dizem que é difícil identificar quem é o culpado pela falha em proteger a privacidade das imagens médicas. De acordo com a lei dos EUA, os prestadores de serviços de saúde e seus parceiros de negócios são legalmente responsáveis por garantir a privacidade dos dados dos pacientes. Vários especialistas disseram que essa exposição dos dados dos pacientes pode violar a Lei de Portabilidade e Responsabilidade do Seguro de Saúde, ou HIPAA, a lei de 1996 que exige que os prestadores de serviços de saúde mantenham os dados de saúde dos americanos confidenciais e seguros.
Embora o ProPublica não tenha encontrado evidências de que os dados dos pacientes foram copiados desses sistemas e publicados em outros lugares, as consequências do acesso não autorizado a essas informações podem ser devastadoras. “Os registros médicos são uma das áreas mais importantes para privacidade, porque são muito sensíveis. O conhecimento médico pode ser usado contra você de maneiras maliciosas: envergonhar as pessoas e chantagear as pessoas ”, disse Cooper Quintin, pesquisador de segurança e tecnólogo da equipe da Electronic Frontier Foundation, um grupo de direitos digitais.
“Isso é totalmente irresponsável”, disse ele.
A questão não deve ser uma surpresa para os médicos. Durante anos, um especialista tentou alertar sobre o manuseio casual de dados pessoais de saúde. Oleg Pianykh, diretor de análises médicas do departamento de radiologia do Hospital Geral de Massachusetts, disse que o software de imagens médicas é tradicionalmente escrito com a suposição de que os dados dos pacientes seriam protegidos pelos sistemas de segurança de computadores do cliente.
Porém, à medida que essas redes em hospitais e centros médicos se tornaram mais complexas e conectadas à Internet, a responsabilidade pela segurança passou para os administradores de rede que assumiram salvaguardas. “De repente, a segurança médica tornou-se um projeto faça você mesmo”, escreveu Pianykh em um trabalho de pesquisa de 2016 publicado em uma revista médica.
A investigação da ProPublica se baseou nas descobertas da Greenbone Networks, uma empresa de segurança com sede na Alemanha que identificou problemas em pelo menos 52 países em todos os continentes habitados. Dirk Schrader, da Greenbone, compartilhou sua pesquisa com a Bayerischer Rundfunk depois de descobrir que os registros de saúde de alguns pacientes estavam em risco. Os jornalistas alemães entraram em contato com o ProPublica para explorar a extensão da exposição nos EUA.
Schrader encontrou cinco servidores na Alemanha e 187 nos EUA que disponibilizaram os registros dos pacientes sem senha. O ProPublica e o Bayerischer Rundfunk também examinaram os endereços do Protocolo da Internet e identificaram, quando possível, a qual fornecedor médico eles pertenciam.
O ProPublica determinou independentemente quantos pacientes poderiam ser afetados nos Estados Unidos e descobriu que alguns servidores executavam sistemas operacionais desatualizados com vulnerabilidades de segurança conhecidas. Schrader disse que os dados de mais de 13,7 milhões de exames médicos nos EUA estavam disponíveis online, incluindo mais de 400.000 nos quais raios-X e outras imagens podiam ser baixados.
O problema da privacidade remonta à mudança da profissão médica da tecnologia analógica para a digital. Longe vão os dias em que os raios X do filme eram exibidos em quadros de luz fluorescente. Hoje, os estudos de imagem podem ser enviados instantaneamente aos servidores e visualizados pela internet pelos médicos em seus consultórios.
Nos primeiros dias dessa tecnologia, como em grande parte da Internet, pouco se pensava em segurança. A passagem do HIPAA exigia que as informações do paciente fossem protegidas contra acesso não autorizado. Três anos depois, a indústria de imagens médicas publicou seus primeiros padrões de segurança.
Nossos relatórios indicaram que grandes cadeias hospitalares e centros médicos acadêmicos implementaram proteções de segurança. A maioria dos casos de dados desprotegidos encontrados envolveu radiologistas independentes, centros de imagens médicas ou serviços de arquivamento.
Uma paciente alemã, Katharina Gaspari, fez uma ressonância magnética há três anos e disse que normalmente confia nos médicos. Mas depois que Bayerischer Rundfunk mostrou a Gaspari suas imagens disponíveis on-line, ela disse: “Agora, não tenho certeza se ainda posso.” O sistema alemão que armazenava seus registros foi bloqueado na semana passada.
Descobrimos que alguns sistemas usados para arquivar imagens médicas também careciam de precauções de segurança. A imagem Offsite, baseada em Denver, deixou em aberto os nomes e outros detalhes de mais de 340.000 registros humanos e veterinários, incluindo os de um grande gato chamado “Marshmellow”, descobriu a ProPublica. Um executivo de imagem externa disse ao ProPublica que a empresa cobra US $ 50 pelo acesso ao site e depois US $ 1 por estudo. “Seus dados estão seguros e protegidos conosco”, diz o site da Offsite Image.
A empresa encaminhou a ProPublica a seu consultor técnico, que inicialmente defendeu as práticas de segurança da Offsite Image e insistiu que era necessária uma senha para acessar os registros dos pacientes. O consultor, Matthew Nelms, ligou para um repórter do ProPublica um dia depois e reconheceu que os servidores da Offsite Image estavam acessíveis, mas agora estavam corrigidos.
“Nós nunca estávamos cientes de que havia uma possibilidade que poderia acontecer”, disse Nelms.
Em 1985, um grupo da indústria que incluía radiologistas e fabricantes de equipamentos de imagem criou um padrão para o software de imagem médica. O padrão, que agora é chamado de DICOM, explica como os dispositivos de imagens médicas conversam entre si e compartilham informações.
Nós compartilhamos nossas descobertas com funcionários da Medical Imaging & Technology Alliance, o grupo que supervisiona o padrão. Eles reconheceram que havia centenas de servidores com uma conexão aberta na internet, mas sugeriram que a culpa estava nas pessoas que os administravam.
“Embora seja um número relativamente pequeno”, disse a organização em comunicado, “pode ser possível que alguns desses sistemas contenham registros de pacientes. Eles provavelmente representam más opções de configuração por parte daqueles que operam esses sistemas. ”
As atas das reuniões de 2017 mostram que um grupo de trabalho sobre segurança soube das descobertas de Pianykh e sugeriu uma reunião com ele para discuti-las ainda mais. Esse “item de ação” foi listado por vários meses, mas Pianykh disse que nunca foi contatado. A aliança de imagens médicas disse ao ProPublica na semana passada que o grupo não se encontrou com Pianykh porque as preocupações que eles tinham foram suficientemente abordadas em seu artigo. Eles disseram que o comitê concluiu que seus padrões de segurança não eram falhos.
Pianykh disse que isso é errado. Não é falta de padrões; é que os fabricantes de dispositivos médicos não os seguem. “A segurança de dados médicos nunca foi totalmente incorporada aos dados ou dispositivos clínicos e ainda é amplamente teórica e não existe na prática”, escreveu Pianykh em 2016.
As descobertas mais recentes da ProPublica seguem várias outras violações importantes. Em 2015, a seguradora de saúde dos EUA Anthem Inc. revelou que dados privados pertencentes a mais de 78 milhões de pessoas foram expostos em um hack. Nos últimos dois anos, oficiais dos EUA relataram que mais de 40 milhões de pessoas tiveram seus dados médicos comprometidos, de acordo com uma análise de registros do Departamento de Saúde e Serviços Humanos dos EUA.
Joy Pritts, ex-oficial de privacidade do HHS, disse que o governo não é suficientemente duro para policiar violações de privacidade de pacientes. Ela citou um anúncio do HHS em abril que reduziu a multa máxima anual, de US $ 1,5 milhão para US $ 250.000, pelo que é conhecido como “negligência voluntária corrigida” – o resultado de falhas conscientes ou indiferença imprudente que uma empresa tenta corrigir. Ela disse que as grandes empresas não apenas considerariam essas multas apenas como o custo dos negócios, mas também poderiam negociar com o governo para reduzi-las. Um exame do ProPublica em 2015 encontrou poucas consequências para os reincidentes da HIPAA.
Uma porta-voz do Escritório de Direitos Civis do HHS, que aplica violações à HIPAA, disse que não comentaria investigações abertas ou potenciais.
“O que normalmente vemos no setor de assistência médica é que o Band-Aid e o Band-Aid são aplicados” aos sistemas legados de computadores, disse Singh, especialista em segurança cibernética. Ela disse que é uma “responsabilidade compartilhada” entre fabricantes, fabricantes de padrões e hospitais para garantir a segurança dos servidores de computadores.
“É 2019”, disse ela. “Não há razão para isso.”
Como sei se meus dados de imagens médicas são seguros?
Se você é um paciente:
Se você fez uma varredura de imagens médicas (por exemplo, raio-X, tomografia computadorizada, ressonância magnética, ultrassom etc.), pergunte ao médico que fez a varredura – ou ao seu médico – se o acesso às suas imagens exige login e senha. Pergunte ao seu médico se o consultório ou o provedor de imagens médicas ao qual eles encaminham pacientes realiza uma avaliação de segurança regular, conforme exigido pelo HIPAA.
Se você é um provedor de imagens médicas ou consultório médico:
Os pesquisadores descobriram que os servidores de sistemas de arquivamento e comunicação de imagens (PACS) que implementam o padrão DICOM podem estar em risco se estiverem conectados diretamente à Internet sem uma VPN ou firewall, ou se o acesso a eles não exigir uma senha segura. Você ou sua equipe de TI deve garantir que o servidor PACS não possa ser acessado pela Internet sem uma conexão e senha VPN. Se você conhece o endereço IP do seu servidor PACS, mas não tem certeza se ele é (ou foi) acessível via Internet, entre em contato conosco em medicalimaging@propublica.org.