Ondsindede medicinske maskiner? lægeres enheder og data, der er angrebet fra hackere

Mens læger har svoret at ikke skade, synes det ikke at være tilfældet for udstyret eller netværkene, de bruger til at administrere pleje. I henhold til en ny rapport fra SANS-forskningsorganisationen og norrøne, lægger allerede medicinske udbydere sig for cyberangreb i hopetid. Undersøgelsen fandt 49.917 unikke ondsindede hændelser fra de sundhedsudbydere, de profilerede, og rolig ikke: det bliver værre.

Livreddere blev onde

Rapporten fandt, at mange netværk, medicinsk udstyr let blev overtaget af hackere. Disse omfattede radiologi-billeddannelsessoftware, videokonference-systemer, digitale videosystemer, opkaldskontakt-software og sikkerhedssystemer. Selv enheder, der var beregnet til at hjælpe med at beskytte organisationer, som VPN'er, firewalls og routere, blev kapret.

Rapporten fandt, at medicinsk udstyr og software er ved at blive et favoritmål hos hackere til at iværksætte andre angreb - enten på det samme netværk eller på andre mål. Fra rapporten: "Når disse netværk er kompromitteret, er de ikke kun sårbare over for overtrædelser, men er også tilgængelige til at blive brugt til angreb som phishing, DDoS og falske aktiviteter, der er lanceret mod andre netværk og ofre."

"En af de største grunde til, at vi ser infrastrukturen til hospitaler, der bruges som lanceringsplatforme til anden cyberkriminalitet og hacks, er fordi mange af disse enheder er stumme enheder, " sagde den norrøne CTO og medstifter Tommy Stiansen. "De er ikke desktops eller servere, men de kører alle Linux." Vi har allerede set, hvordan nogle enheder, især netværkede videokameraer, kan bruges til at få fodfæste på et offerets netværk og forårsage alskens kaos.

På trods af deres evner betragtes medicinsk udstyr og overvågningskameraer ikke som en del af sikkerhedsarkitekturen, forklarede CEO og medstifter Sam Glines. "Et dokument, som vores crawlere blev opdaget til et større hospital, havde det samme brugernavn og adgangskode til alt, " sagde han. Dette omfattede livreddende enheder som dialyseudstyr. Husk, at Internettet stadig er på sporet for at dræbe dig inden 2014.

Som for at demonstrere omfanget af problemet nævnte Stiansen, at de først blev interesseret i dette projekt, da de observerede kreditkortoplysninger, der blev sendt af medicinsk udstyr. "Hvis nogen forlader døren åben, kommer hackere, " sagde Stiansen.

Mere værdifulde data

Ud over usikrede enheder og software, der bruges af hospitaler, er et endnu større problem: stjålne medicinske data. Sundhedsudbydere på alle niveauer har ekstremt værdifulde personlige data til rådighed, og det er disse oplysninger, som angribere er desperate efter at få deres hænder på.

Årsagen, forklares Stiansen, er enkel: "Du kan udføre mere svindel med det, så kan du med kreditkortsdata." En angriber kan hurtigt tjene penge på medicinske data, forklarede han gennem veje som Medicare eller receptpligtig svig. Foruden medicinske oplysninger er intellektuel ejendom og faktureringsinformation, der er gemt af sundhedsudbydere, også i fare.

Ud over den åbenlyse indvirkning på enkeltpersoner, der er forårsaget af, at dine data er stjålet, påpeger rapporten også, at denne svig driver prisen på sundhedsydelser endnu højere. Rapporten citerer en Ponemon-repot fra sidste år, der estimerede omkostningerne ved overtrædelse og medicinsk svig til omkring 12 milliarder dollars.

Sådan rettes det

Det er klart, at sundhedsorganisationer er nødt til at blive seriøse med at sikre deres netværk og enheder, selv på et grundlæggende niveau. "Betragt alt med en IP-adresse som et kritisk slutpunkt, " sagde Glines, der fortsatte med at sige, at stærkere adgangskodeprotokoller for alt fra medicinsk udstyr til firewalls ville forbedre situationen.

Ny lovgivning kan også tilskynde til bedre adfærd. Glines pegede på EU-lovgivningen om, at bøde virksomheder en procentdel af deres indtægter, når der opstår et brud eller et tab af data finder sted. Skønt HIPAA er beregnet til at yde beskyttelse, fastholdt norrøn, at overholdelse simpelthen ikke svarede til sikkerhed.

Men der er også en rolle for almindelige mennesker. Stiansen opfordrede patienter til at spørge deres sundhedsudbyder om cybersikkerhed. Glines var enig i at sige, "forbrugere er dem, der har mest at tabe. De har ret til at spørge, hvordan deres poster opretholdes, og hvilken slags sikkerhedsprocedurer der er på plads."