Skadliga medicinska maskiner? läkares enheter och data som attackeras från hackare

Medan läkare har svurit att inte göra någon skada, verkar det inte vara sant för utrustningen eller nätverken de använder för att administrera vård. Enligt en ny rapport från SANS: s forskningsorganisation och norr, har medicinska leverantörer redan undergått cyberattacker i hopskott. Studien fann 49 917 unika skadliga händelser från sjukvårdsleverantörerna de profilerade och oroa dig inte: det blir värre.

Livräddare blev onda

I rapporten konstaterades att många nätverksmedicinska apparater lätt togs över av hackare. Dessa inkluderade röntgenbildsprogramvara, videokonferenssystem, digitala videosystem, samtalskontaktprogramvara och säkerhetssystem. Till och med enheter som var avsedda att hjälpa till att skydda organisationer, som VPN: er, brandväggar och routrar, kapades.

Rapporten fann att medicinsk utrustning och mjukvara blir ett favoritmål för hackare för att lansera andra attacker - antingen på samma nätverk eller på andra mål. Från rapporten: "När de komprometterats är dessa nätverk inte bara sårbara för överträdelser, utan också tillgängliga för att användas för attacker som phishing, DDoS och bedrägliga aktiviteter som inletts mot andra nätverk och offer."

"En av de största orsakerna till att vi ser infrastrukturen för sjukhus som används som lanseringsplattformar för annan cyberbrottslighet och hacks är att många av dessa enheter är dumma enheter, " sade den norska CTO och medgrundare Tommy Stiansen. "De är inte stationära datorer eller servrar, men de kör alla Linux." Vi har redan sett hur vissa enheter, särskilt nätverkade videokameror, kan användas för att få fotfäste i offrets nätverk och orsaka alla slags förödelse.

Trots deras kapacitet anses medicinsk utrustning och övervakningskameror inte vara en del av säkerhetsarkitekturen, förklarade VD och medgrundare Sam Glines. "Ett dokument som upptäcktes av våra sökrobotar för ett större sjukhus hade samma användarnamn och lösenord för allt", sa han. Detta inkluderade livräddande enheter som dialysutrustning. Kom ihåg att Internet fortfarande är på väg att döda dig senast 2014.

Som för att visa problemets omfattning nämnde Stiansen att de först blev intresserade av detta projekt när de observerade kreditkortsinformation som skickades av medicinsk utrustning. "Om någon lämnar dörren öppen kommer hackare att komma", sade Stiansen.

Mer värdefulla data

Förutom osäkrade enheter och programvara som används av sjukhus är ett ännu större problem: stulna medicinska data. Sjukvårdsleverantörer på alla nivåer har extremt värdefull personlig information till sitt förfogande, och det är den information som angripare är desperata efter att få tag på.

Anledningen, förklarade Stiansen, är enkel: "Du kan göra mer bedrägeri med det då du kan göra med kreditkortsdata." En angripare kan snabbt tjäna pengar på medicinsk information, förklarade han, genom vägar som Medicare eller receptbelagd bedrägeri. Förutom medicinsk information är immateriella rättigheter och faktureringsinformation lagrade av sjukvårdsleverantörer också i fara.

Utöver den uppenbara påverkan på individer som orsakas av att dina uppgifter är stulna påpekar rapporten också att detta bedrägeri driver priset på sjukvård ännu högre. Rapporten citerar en Ponemon-repot från förra året som uppskattade kostnaderna för insruance och medicinsk bedrägeri till cirka 12 miljarder dollar.

Hur du fixar det

Självklart måste hälsovårdsorganisationer få allvar med att säkra sina nätverk och enheter, även på en grundläggande nivå. "Betrakta allt med en IP-adress som en kritisk slutpunkt", säger Glines, som fortsatte med att säga att starkare lösenordsprotokoll för allt från medicinsk utrustning till brandväggar skulle förbättra situationen.

Ny lagstiftning kan också uppmuntra till bättre beteende. Glines pekade på EU: s lagar om att böter företag en procentandel av sina intäkter när ett intrång inträffar eller data förlust. Även om HIPAA är avsett att ge skydd, fastställde norska att efterlevnad helt enkelt inte liknar säkerheten.

Men det finns en roll för vanliga människor också. Stiansen uppmuntrade patienter att fråga sin vårdgivare om cybersäkerhet. Glines enades om att säga, "konsumenterna är de som har mest att förlora. De har rätt att fråga hur deras register hålls och vilken typ av säkerhetsförfaranden finns."