Dados médicos podem valer até 50 vezes mais que os bancários
Em um mundo praticamente digitalizado e globalizado, a saúde não estaria em um cenário diferente. O maquinário inteligente permite administrar medicação e até monitorar pacientes quando conectados à internet, o que também pode significar um grave risco à segurança, tanto dos dados em si, como dos pacientes.
De acordo com um boletim de segurança pela ISH Tecnologia, companhia nacional de cibersegurança, os aparelhos como bombas de infusão, monitores de sinais vitais, respiradores ou sistemas de prontuários médicos foram programados inicialmente para funcionar em apenas redes locais. Entretanto, à medida que se conectam mais à internet, podem permitir a invasão por outros dispositivos se as configurações de segurança não forem corretas. Essa conectividade sem cuidado estão: nas interfaces da web acessíveis sem autenticação, senhas padrão ou fracas deixadas ativas, protocolos desatualizados ou sem criptografia, integrações mal configuradas e portas críticas expostas.
Dispositivos como o Shodan (que opera como o ‘Google para dispositivos conectados’) possibilita que qualquer pessoa que saiba o básico encontre esses equipamentos usando simples termos como os servidores PACS, que são um componente essencial de um tipo de sistema clínico de TI chamado PACS — Sistema de Comunicação e Arquivamento de Imagens.
“Para os invasores, os dados dos pacientes em sistemas hospitalares são de grande valia por expor ativos de valor financeiro, estratégico e exploratório e, diferente de senhas ou cartões de créditos, os dados médicos não podem ser apagados ou trocados – e podendo valer até 50 vezes mais que dados bancários comuns”, explica Ismael Rocha, Especialista em Inteligência de Ameaças da ISH Tecnologia.
Os dados permitem ação de fraudes mais sofisticadas, como reembolsos indevidos de seguros de saúde, a aquisição de medicamentos controlados, a criação de identidades falsas baseadas nesses perfis reais e até mesmo a extorsão baseada em diagnósticos sensíveis.
Uma vez que os criminosos têm acesso ao histórico médico, eles criam campanhas de phishing (forma de fraude online onde os golpistas usam e-mails, mensagens de texto, redes sociais ou ligações para enganar as vítimas e roubar informações pessoais) personalizadas em que fingem ser do círculo hospitalar. A posse dessas informações aumenta significativamente as chances de sucesso na extorsão.
Ismael explica que os hospitais são alvos estratégicos devido a urgência e a sensibilidade dos dados. “Eles criptografam os sistemas hospitalares e, para não vazar as informações, exigem um resgate que é pago devido à pressão ética e operacional sob essas instituições – além de serem um tipo de arma de inteligência por rastrear vulnerabilidades de autoridades, militares e/ou executivos.”
A Lei Geral de Proteção de Dados (LGPD) do Brasil considera as informações de saúde como sensíveis, exigindo mais cuidado, proteção, controle e transparência. Em resumo, hospitais, clínicas e operadoras são legalmente responsáveis pela segurança dos dados médicos que armazenam e transmitem.
