up_icon
Internet Misc

Χακάροντας ένα νοσοκομείο: Προβλήματα ασφάλειας στα συστήματα πληροφορικής του τομέα της Υγείας

29 Μαρτίου 2016 Yannis Elpidis

Χακάροντας ένα νοσοκομείο: Προβλήματα ασφάλειας στα συστήματα πληροφορικής του τομέα της Υγείας

Hospital-hack

Ένας από τους ειδικούς της Παγκόσμιας Ομάδας Έρευνας και Ανάλυσης της Kaspersky Lab διεξήγε έρευνα πεδίου σε ιδιωτική κλινική, σε μια προσπάθεια να ανακαλύψει πιθανές αδυναμίες ασφάλειάς και τρόπους αντιμετώπισής τους. Οι ευπάθειες εντοπίστηκαν σε ιατρικές συσκευές που «άνοιξαν την πόρτα» στους ψηφιακούς εγκληματίες για πρόσβαση στα προσωπικά δεδομένα των ασθενών και ευρύτερα στην «ευημερία» τους.

Μια σύγχρονη κλινική είναι ένα πολύπλοκο σύστημα. Διαθέτει εξελιγμένες ιατρικές συσκευές που περιλαμβάνουν πλήρως λειτουργικούς υπολογιστές, με λειτουργικό σύστημα και εγκατεστημένες εφαρμογές. Οι γιατροί βασίζονται στους ηλεκτρονικούς υπολογιστές και όλες οι πληροφορίες αποθηκεύονται σε ψηφιακή μορφή. Επιπλέον, όλες οι τεχνολογίες του τομέα της Υγείας είναι συνδεδεμένες στο Διαδίκτυο. Επομένως, δεν αποτελεί έκπληξη το γεγονός ότι και οι ιατρικές συσκευές και οι νοσοκομειακές υποδομές πληροφορικής έχουν υπάρξει και προηγουμένως στόχος των hacker. Τα πιο πρόσφατα παραδείγματα τέτοιων περιστατικών είναι οι επιθέσεις με ransomware προγράμματα εναντίον νοσοκομείων στις ΗΠΑ και τον Καναδά. Ωστόσο, μια μεγάλης κλίμακας κακόβουλη επίθεση είναι μόνο ένας από τους τρόπους που οι εγκληματίες θα μπορούσαν να εκμεταλλευτούν την υποδομή πληροφορικής ενός σύγχρονου νοσοκομείου.

Οι κλινικές αποθηκεύουν προσωπικές πληροφορίες των ασθενών τους. Μπορούν επίσης να έχουν στην κατοχή τους και να χρησιμοποιούν πολύ ακριβό, δύσκολο στην επισκευή και την αντικατάσταση εξοπλισμό, χαρακτηριστικά που τις καθιστούν ένα δυνητικά πολύτιμο στόχο για εκβιασμό και κλοπή δεδομένων.

Kaspersky-Lab_Hacked-Clinic

Το αποτέλεσμα μιας επιτυχημένης ψηφιακής επίθεσης εναντίον ενός ιατρικού οργανισμού θα μπορούσε να διαφέρει στις λεπτομέρειες, αλλά παραμένει πάντα επικίνδυνο. Μεταξύ άλλων, θα μπορούσε να περιλαμβάνει τα ακόλουθα:

  • Κακόβουλη χρήση των προσωπικών δεδομένων των ασθενών, όπως η μεταπώληση των πληροφοριών σε τρίτους ή η απαίτηση πληρωμής λύτρων από την κλινική, ώστε να ανακτηθούν ευαίσθητες πληροφορίες σχετικά με τους ασθενείς
  • Εσκεμμένη παραποίηση αποτελεσμάτων εξετάσεων ή διαγνώσεων
  • Βλάβη στον ιατρικό εξοπλισμό που θα μπορούσε να προκαλέσει τόσο σωματική βλάβη στους ασθενείς, όσο και τεράστιες οικονομικές απώλειες στην κλινική
  • Αρνητικό αντίκτυπο στη φήμη μιας κλινικής

Έκθεση στο Διαδίκτυο

Το πρώτο πράγμα που ο ειδικός της Kaspersky Lab αποφάσισε να διερευνήσει ήταν η κατανόηση του πόσες ιατρικές συσκευές σε όλο τον κόσμο είναι πλέον συνδεδεμένες στο Διαδίκτυο. Οι σύγχρονες συσκευές ιατρικής είναι πλήρως λειτουργικοί υπολογιστές με δικό τους λειτουργικό σύστημα. Ταυτόχρονα, οι περισσότεροι απ’ αυτούς έχουν ένα κανάλι επικοινωνίας με το Διαδίκτυο. Παραβιάζοντας τους, οι εγκληματίες θα μπορούσαν να επηρεάσουν τη λειτουργικότητα τους.

Μια γρήγορη ματιά στην μηχανή αναζήτησης Shodan για τις συσκευές με σύνδεση στο Διαδίκτυο έδειξε ότι εκατοντάδες συσκευές – από μαγνητικούς τομογράφους, μέχρι καρδιολογικό εξοπλισμό, συσκευές πυρηνικής ιατρικής και άλλες σχετικές συσκευές – είναι εγγεγραμμένες εκεί. Η ανακάλυψη αυτή οδηγεί σε ανησυχητικά συμπεράσματα.

Μερικές από αυτές τις συσκευές εξακολουθούν να «τρέχουν» παλιά λειτουργικά συστήματα όπως τα Windows XP, τα οποία δεν διαθέτουν τα σχετικά patches για τις ευπάθειες που έχουν ανακαλυφθεί. Επίσης, σε ορισμένες από τις συσκευές χρησιμοποιούνται ακόμη οι προεπιλεγμένοι κωδικοί πρόσβασης, οι οποίοι μπορούν να βρεθούν εύκολα σε δημόσια προσβάσιμα εγχειρίδια.

Χρησιμοποιώντας αυτές τις ευπάθειες, οι εγκληματίες θα μπορούσαν να αποκτήσουν πρόσβαση στο interface μιας συσκευής κι ενδεχομένως να επηρεάσουν τον τρόπο που αυτή λειτουργεί.

Στο εσωτερικό του τοπικού δικτύου της κλινικής

Το παραπάνω σενάριο ήταν ένας από τους τρόπους με τους οποίους οι ψηφιακοί εγκληματίες θα μπορούσαν να αποκτήσουν πρόσβαση σε ζωτικής σημασίας υποδομές της κλινικής. Αλλά ο πιο προφανής και λογικός τρόπος είναι να προσπαθήσουν να επιτεθούν στο τοπικό δίκτυό της. Κατά τη διάρκεια της έρευνας, εντοπίστηκε μια ευπάθεια στη Wi-Fi σύνδεση της κλινικής. Μέσα από ένα αδύναμο πρωτόκολλο επικοινωνίας, αποκτήθηκε πρόσβαση στο τοπικό δίκτυο.

Ερευνώντας το τοπικό δίκτυο της κλινικής, ο ειδικός της Kaspersky Lab εντόπισε κάποιον ιατρικό εξοπλισμό που είχε προηγουμένως βρεθεί στο Shodan. Αυτή τη φορά όμως, για να αποκτήσει κάποιος πρόσβαση στον εξοπλισμό, δεν χρειαζόταν κανέναν απολύτως κωδικό πρόσβασης, γιατί το τοπικό δίκτυο ήταν ένα αξιόπιστο δίκτυο για τις εφαρμογές ιατρικού εξοπλισμού καθώς και για τους χρήστες. Κι αυτός είναι ο τρόπος που ένας ψηφιακός εγκληματίας μπορεί να αποκτήσει πρόσβαση σε μια ιατρική συσκευή.

Διερευνώντας περαιτέρω το δίκτυο, ο ειδικός της Kaspersky Lab ανακάλυψε μια νέα ευπάθεια σε μια εφαρμογή ιατρικής συσκευής. Ένα command shell υλοποιήθηκε στο περιβάλλον του χρήστη. Το τελευταίο θα μπορούσε να δώσει στους ψηφιακούς εγκληματίες πρόσβαση σε προσωπικές πληροφορίες των ασθενών, όπως το ιατρικό ιστορικό και πληροφορίες σχετικά με ιατρικές αναλύσεις, καθώς και τις διευθύνσεις τους και τα στοιχεία ταυτότητας τους. Επιπλέον, μέσω αυτής της ευπάθειας θα μπορούσε να τεθεί σε κίνδυνο ολόκληρη η συσκευή που ελέγχεται μέσω της εφαρμογής αυτής. Για παράδειγμα, μεταξύ αυτών των συσκευών θα μπορούσαν να είναι μαγνητικοί τομογράφοι, καρδιολογικός εξοπλισμός, συσκευές πυρηνικής ιατρικής και χειρουργικός εξοπλισμός. Τι θα μπορούσε να επιφέρει αυτό; Πρώτον, οι εγκληματίες θα μπορούσαν να αλλάξουν τον τρόπο λειτουργίας της συσκευής και να προκαλέσουν σωματική βλάβη στους ασθενείς. Δεύτερον, οι εγκληματίες θα μπορούσαν να βλάψουν την ίδια τη συσκευή, προκαλώντας τεράστια οικονομική ζημία στο νοσοκομείο.

Όπως σχολίασε ο Sergey Lozhkin, SeniorResearche rστην Παγκόσμια Ομάδα Έρευνας και Ανάλυσης της Kaspersky Lab.

"Οι κλινικές δεν αποτελούνται πλέον μόνο από γιατρούς και ιατρικό εξοπλισμό, αλλά κι από υπηρεσίες πληροφορικής. Το έργο των εσωτερικών υπηρεσιών ασφάλειας μιας κλινικής επηρεάζει την ασφάλεια των δεδομένων του ασθενούς και τη λειτουργικότητα των συσκευών της. Οι κατασκευαστές ιατρικού λογισμικού και εξοπλισμού καταβάλουν μεγάλη προσπάθεια, για να δημιουργήσουν μια χρήσιμη ιατρική συσκευή που θα σώζει και θα προστατεύει την ανθρώπινη ζωή, αλλά μερικές φορές ξεχνούν εντελώς να τις προστατεύσουν από μη εξουσιοδοτημένη εξωτερική πρόσβαση. Όταν πρόκειται για νέες τεχνολογίες, τα θέματα ασφάλειας θα πρέπει να αντιμετωπιστούν κατά το πρώτο στάδιο της διαδικασίας Έρευνας και Ανάπτυξης (R&D). Οι εταιρείες ασφάλειας του κλάδου της Πληροφορικής θα μπορούσαν να συμβάλλουν σε αυτό το στάδιο, βοηθώντας στην αντιμετώπιση ζητημάτων ασφάλειας"

Οι ειδικοί της Kaspersky Lab προτείνουν τα ακόλουθα μέτρα για την προστασία των κλινικών από μη εξουσιοδοτημένη πρόσβαση:

  • Χρήση ισχυρών κωδικών πρόσβασης για την προστασία όλων των εξωτερικών σημείων σύνδεσης
  • Ενημέρωση των πολιτικών πληροφοριακής ασφάλειας και ανάπτυξη συστημάτων έγκαιρης εγκατάστασης patchκαι αξιολόγησης ευπαθειών
  • Προστασία των εφαρμογών των ιατρικών συσκευών στο τοπικό δίκτυο με κωδικούς πρόσβασης, σε περίπτωση μη εξουσιοδοτημένης πρόσβασης στην αξιόπιστη περιοχή
  • Προστασία της υποδομής από απειλές όπως κακόβουλο λογισμικό και επιθέσεις hacking μέσω μιας αξιόπιστης λύσης ασφάλειας
  • Δημιουργία αντιγράφων ασφαλείας για τις κρίσιμες πληροφορίες σε τακτική βάση και διατήρηση ενός αντιγράφου ασφαλείας offline

 

Yannis Elpidis

Είμαι ένας λάτρης της τεχνολογίας και του διαδικτύου. Γνώρισα τον πρώτο μου υπολογιστή στα μέσα της δεκαετίας του '80 και ήταν "love at first sight" που λένε και στο χωριό μου. Θα με βρείτε καθημερινά στη "Darkpony Digital".

Αγαπημένο μότο:
 "There are 10 kinds of people, those who understand binary and those who don't."

ΣΧΟΛΙΑ
read more

Από το iPod στο streaming: Συμβουλές για ασφαλή χρήση στη νέα εποχή

17 Μαΐου 2022 Techgear Team

Πρόσφατα η Apple ανακοίνωσε ότι σταμάτησε την κατασκευή του iPod. Η εταιρεία θα πουλήσει τα αποθέματα του iPod Touch, σηματοδοτώντας το τέλος εποχής για το iPod και την «προσωπική μουσική». Τα τελευταία χρόνια ...

Google: Απαγορεύει τα downloads και τις αναβαθμίσεις των επί πληρωμή εφαρμογών στη Ρωσία

10 Μαΐου 2022 Christos Elpidis

Δυσκολεύει ακόμη περισσότερο η «ψηφιακή» καθημερινότητα για εκατομμύρια χρήστες που ζουν στη Ρωσία, καθώς η Google ανακοίνωσε νέα μέτρα σχετικά με τη διανομή των εφαρμογών και των αναβαθμίσεων τους μέσα από το ...

Twitter Article: Δοκιμές για δημοσίευση long-form κειμένων στο Twitter

09 Μαΐου 2022 Christos Elpidis

Εν μέσω των υποσχέσεων που ξεκίνησε να μοιράζει ο Elon Musk στους υπόλοιπους μετόχους της Twitter (σ.σ. κάνει λόγο για τετραπλασιασμό του αριθμού των χρηστών μέσα στα επόμενα χρόνια), η γνωστή ερευνήτρια Jane ...

Apple, Google και Microsoft υπόσχονται ένα μέλλον χωρίς passwords από το 2023

06 Μαΐου 2022 Christos Elpidis

Με αφορμή την Παγκόσμιο Ημέρα Password (World Password Day), οι Google, Apple και Microsoft ανακοίνωσαν από κοινού ότι συμπράττουν για ένα μέλλον χωρίς passwords στις πλατφόρμες τους. Αυτό σημαίνει πως σχετικά ...

TikTok Pulse: Το νέο πρόγραμμα ανταμοιβής των δημιουργών περιεχομένου

05 Μαΐου 2022 Christos Elpidis

Η ByteDance δημιουργεί νέους τρόπους εξοικονόμησης χρημάτων για τους δημιουργούς περιεχομένου στην δημοφιλή πλατφόρμα TikTok, με την εταιρεία να ανακοινώνει πως σκοπεύει να μοιράσει τα κέρδη των διαφημίσεων που...

Google: Αφαίρεσε πάνω από 3.4 δισ. κακόβουλων διαφημίσεων το 2021

05 Μαΐου 2022 Techgear Team

Όταν λαμβάνουμε αποφάσεις που αφορούν σε διαφημίσεις και πληρωμένο περιεχόμενο στις πλατφόρμες μας, η ασφάλεια των χρηστών αποτελεί κορυφαία προτεραιότητά για εμάς. Στην πραγματικότητα, χιλιάδες άνθρωποι της ...

Samsung Internet 17.0: Διαθέσιμη η νέα έκδοση του mobile web browser

04 Μαΐου 2022 Techgear Team

Η Samsung κυκλοφόρησε επίσημα σήμερα το Samsung Internet 17.0, μια νέα αναβάθμιση του προγράμματος περιήγησης της Samsung που εισάγει λειτουργίες απορρήτου και ασφάλειας με επίκεντρο τον χρήστη. Η τελευταία ...

Mozilla Firefox 100: Διαθέσιμη η επετειακή έκδοση με νέα χαρακτηριστικά

03 Μαΐου 2022 Christos Elpidis

Έφτασε και η ώρα για τη Mozilla να λανσάρει την τελική επετειακή έκδοση του Firefox browser, καθώς εδώ και λίγη ώρα είναι διαθέσιμος ο Firefox 100 για όλες τις πλατφόρμες και φέρνει ορισμένα χρήσιμα νέα ...

Microsoft Edge: Ενσωμάτωση υπηρεσίας VPN στον web browser

28 Απριλίου 2022 Christos Elpidis

Η Microsoft συνεχίζει τις προσπάθειες βελτίωσης του Edge browser με την προσθήκη νέων λειτουργιών που θα τον διαφοροποιήσουν από τον μεγάλο αντίπαλο, το Google Chrome, παρά το γεγονός ότι βασίζεται στην ίδια ...

Google: Αφαίρεση προσωπικών δεδομένων χρηστών από τη μηχανή αναζήτησης

28 Απριλίου 2022 Christos Elpidis

Το περίφημο «δικαίωμα στη λήθη» που προσφέρει η Google στους χρήστες σχετικά με την εμφάνιση τους στα αποτελέσματα αναζήτησης επεκτείνεται πλέον σε περισσότερους τομείς. Η εταιρεία ανακοίνωσε μέσω της ...

Loader
techgear_icon