Si hay un sector crítico en estos tiempos de pandemia ese es, sin duda alguna, el sector sanitario. Desde el inicio de la crisis sanitaria provocada por la COVID-19, los profesionales sanitarios han estado en primera línea lidiando esta enfermedad, no siempre con los recursos necesarios para hacerle frente con las suficientes garantías. Esto también ha pasado con los sistemas informáticos usados en clínicas y hospitales que han visto como aumentaban el número de ataques dirigidos hacia ellos aunque, demasiadas veces, el problema no son únicamente los ataques recibidos sino la pobre configuración de estos sistemas y los pocos recursos destinados a ciberseguridad.
Ficheros médicos y datos personales expuestos
Los archivos médicos tales como historiales clínicos, radiografías, ecografías imágenes obtenidas por resonancia magnética y otros son datos críticos y confidenciales de cada paciente y que deberían almacenarse teniendo en cuenta las mejores medidas de seguridad que se puedan adoptar. Por ese motivo, información como la desvelada por la empresa de ciberseguridad CybelAngel Recientemente resulta especialmente preocupante.
Los investigadores de esta empresa han descubierto hasta 45 millones de archivos de imágenes digitales (DICOM) pertenecientes a diversas pruebas realizadas a pacientes en todo el mundo. Según esta investigación llevada a cabo durante seis meses, los archivos se encontraban en servidores desprotegidos accesibles para cualquiera sin necesidad de utilizar herramientas de hacking o romper ninguna contraseña.
Esta información puede ser muy valiosa para un delincuente ya que, mediante el análisis de los metadatos de las imágenes obtenidas se podrían llegar a averiguar datos como el nombre del especialista que solicitó la prueba, el centro médico donde se realizó, la parte del cuerpo analizada e incluso el nombre y la fecha de nacimiento del paciente. Con esta información se podrían llegar a preparar ataques dirigidos que podrían ir desde la extorsión a la suplantación de identidad.
Tomando el control de un dispositivo cardiaco
Una investigación llevada a cabo por otro grupo de expertos de la empresa de seguridad Sternum ha descubierto vulnerabilidades en el producto MyCareLink Smart 25000 Patient Reader. Esta plataforma esta diseñada por el fabricante Medtronic para recopilar datos de los pacientes que tengan implantado algún tipo de dispositivo cardiaco y lo transfiere a la red de Medtronic CareLink.
Según los investigadores, se han encontrado tres vulnerabilidades que permitirían a un atacante para modificar la información que se recibe de los implantes, además de tomar el control remoto de estos dispositivos y ejecutar código arbitrario en el dispositivo MyCareLink Smart 25000 Patient Reader.
El fabricante de estos dispositivos ha corregido estos agujeros de seguridad mediante la publicación de una actualización del firmware que puede ser aplicada mediante una aplicación de smartphone que se puede descargar de la tienda de aplicaciones asociada. Aun así, que dispositivos de salud tan críticos estén asociados con aplicaciones instaladas en nuestros teléfonos móviles no es algo que nos deje especialmente tranquilos.
Tampoco es ninguna novedad que este tipo de dispositivos médicos se vean afectados por vulnerabilidades de este tipo y, en especial los de la marca Medtrónics. En los últimos años hemos visto como han aumentado el número de investigaciones que han descubierto importantes fallos de seguridad en dispositivos tan críticos como marcapasos o bombas de insulina y la conexión de estos con dispositivos como smartphones.
Conclusión
Que se publiquen investigaciones de este tipo demuestra que queda mucho trabajo por hacer para proteger tanto la información confidencial relacionada con pacientes y sus pruebas diagnósticas como en los dispositivos médicos y los accesos externos que se realizan a ellos. Esperemos que este tipo de publicaciones ayuden a mejorar la seguridad en ambos campos y no tengamos que lamentar ataques exitosos que pongan en peligro la vida de las personas.