A S21sec, um dos principais fornecedores de cibersegurança da Europa, dedicou-se a analisar os impactos que os ciberataques podem ter na saúde pública.

Este sector, essencial e crítico para o funcionamento da sociedade, lida com informações de teor confidencial, muitas das quais protegidas pela legislação nacional e europeia, pelo que é urgente investir na sua cibersegurança.

Os dados dos cartões de crédito/débito têm pouco valor em comparação com os dados de saúde, o que explica o facto dos cuidados de saúde se estarem a tornar um alvo para os atacantes com vista a obtenção de lucros pessoais ou benefícios políticos. São várias as famílias de ransomware que, a nível internacional, exploram os sistemas de IT do âmbito da saúde, havendo, inclusivamente, algumas que se dedicam principalmente a atacar este sector, como é o caso do ransomware Royal.

A S21sec apurou que o sector da saúde é já um dos cinco mais atacados e recomenda que qualquer incidente ou indisponibilidade de serviços deve ser gerido rapidamente, de forma a minimizar o impacto, a curto, médio ou longo prazo, que pode causar. Nestes ataques a verdadeira vítima é sempre o paciente, quer seja em questões financeiras, reputacionais ou mesmo ao nível da sua própria vida.

Vectores de ataque à cibersegurança

A cibersegurança no sector dos cuidados de saúde enfrenta diferentes tipologias de ataques conhecidos:

• Ataque remoto ou online: todos os ataques que utilizam a rede ou os serviços online para atingir o seu objectivo. É uma das tipologias mais comuns, na qual os atacantes se podem ocultar com mais segurança e garantir pouca exposição. Estes ataques tornam-se especialmente sensíveis nos cuidados de saúde, com todas as opções de rede que estão a ser desenvolvidas e com a evolução rumo à 'e-Saúde'. O sector da saúde é um dos sectores com o maior número de ataques bem-sucedidos devido a vulnerabilidades da web ou a configurações inseguras resultantes do recente aumento de aplicações e serviços online para a população em geral. Muitos dos ataques têm como propósito descredibilizar a organização, apesar de derivarem de motivos extrínsecos e ocultos.

• Ataque interno: estes ataques têm origem em alguém que tem acesso à rede e aos serviços a partir do interior da organização. No âmbito da saúde existe um grupo variado de trabalhadores (médicos, enfermeiros, funcionários, administradores, etc.) com alta mobilidade e aos quais se tenta dar o máximo acesso para optimizar a atenção à saúde dos pacientes. Um colaborador pode, involuntariamente, tornar-se cúmplice de um atacante, por desconhecimento ou por engano, ou até mesmo ser o próprio atacante. A falta de hábito ou de formação na utilização de protocolos de segurança ou a vocação para se dedicar inconscientemente aos cuidados do paciente são as causas por detrás da sua vulnerabilidade. Também os pacientes, visitantes, acompanhantes ou aqueles que se fazem passar por eles estão dentro das instalações e podem tornar-se agressores a partir do interior. Outro risco interno é a entrada de dispositivos médicos no mercado com poucas medidas de protecção, ou mesmo com sistemas obsoletos e inseguros. Estes dispositivos podem ser utilizados por utentes a partir das suas próprias casas sem a necessidade de visitar centros médicos, em muitos casos por pessoas que não sabem como se proteger contra ameaças de cibersegurança e que utilizam credenciais previsíveis. Consequentemente, são vítimas perfeitas de um ciberataque de engenharia social ou candidatos para deixar o dispositivo exposto acidentalmente, permitindo que estes sejam estudados para ataques mais avançados.

• Ataque de proximidade: estão relacionados com tecnologias de comunicação de curto alcance. Em particular, no sector da saúde encontramos muitos dispositivos médicos que fazem uso destas tecnologias (Bluetooth, WiFi, RFID, irDA, etc.), estando grande parte deles mal configurados ou com protocolos obsoletos e inseguros cuja actualização é dispendiosa ou complexa. Estão também localizados em áreas com um alcance de cobertura que atinge áreas comuns, permitindo que o atacante esteja próximo sem a possibilidade de ser descoberto. Como os estabelecimentos de saúde estão constantemente a receber pessoal externo, este tipo de ataques ocorre tanto com acesso físico restrito, como controlado.

• Ataques à cadeia de fornecimento (ou fornecedor): são ataques provenientes do fornecedor com o objectivo de chegar aos seus clientes. Esta tipologia de ataque tornou-se muito popular na actualidade e assume uma conotação diferente nos cuidados de saúde devido ao grande número de fornecedores e aos múltiplos tipos de acesso que estes possuem. Durante várias auditorias, a S21sec deparou-se com inúmeras interfaces de gestão de dispositivos com medidas de segurança ineficientes, dispositivos estes que estavam directamente ligados à rede de hospitais, centros de saúde ou outros dispositivos críticos.