Durante l’ ottobre 2020 si è verificata in tutto il Paese una situazione straziante: medici e infermieri che si prendevano cura dei pazienti non potevano accedere alle cartelle cliniche, alle radiografie o alle TAC. Gli ospedali della California, dell’Oregon e dell’ , nel Vermont , sono stati tra i tanti che hanno perso l’accesso ai propri sistemi critici e hanno dichiarato di non aver ancora ripristinato completamente l’accesso, a distanza di giorni e settimane.
Il responsabile: una serie di attacchi ransomware che ha indotto l’Agenzia per la sicurezza informatica e delle infrastrutture (Cybersecurity and Infrastructure Security Agency) del Dipartimento della Sicurezza Interna ( ) ad avvertire l’Associazione Nazionale degli Ospedali ( ) di «una minaccia imminente e crescente di criminalità informatica nei confronti degli ospedali e degli operatori sanitari statunitensi».
Sebbene gli attacchi abbiano provocato grande sconcerto, il fatto che si siano verificati non avrebbe dovuto sorprendere nessuno. Da tempo gli hacker prendono di mira le strutture sanitarie, poiché è risaputo che queste fanno affidamento su sistemi informatici obsoleti, spesso vulnerabili. Infatti, secondo un rapporto dell’HIPAA Journal, il numero di violazioni dei dati presso le strutture sanitarie statunitensi è aumentato notevolmente da 2010 a 2019, con un aumento del 197% , e da 2018 a 2019 . Complessivamente, come sottolinea il rapporto, nel corso dell’ultimo anno potrebbe essere stato compromesso il 12,6% di tutti i dati sanitari privati degli americani.
L’attacco di settembre è degno di nota poiché oggi gli hacker considerano il settore sanitario un bersaglio ancora più vulnerabile rispetto a un anno fa. Ciò è dovuto alla pandemia in corso. I centri sanitari sono stati presi d’assalto da pazienti in cerca di cure per COVID-19–related sintomi diversi e si sono concentrati maggiormente su questo aspetto piuttosto che sulla preparazione informatica. Inoltre, a causa del distanziamento sociale, un numero di persone mai visto prima ricorre all’assistenza sanitaria a distanza. Secondo il Dipartimento della Salute e dei Servizi Umani (HHS), tra marzo e giugno del 2020 le visite mediche in telemedicina sono aumentate di 350 volte . Con così tante persone che condividono dati personali online e tramite app, gli hacker dispongono di un’area di attacco molto più ampia.
“«Poiché la telemedicina è un fenomeno relativamente recente, stiamo ancora individuando nuove forme di frode e di sfruttamento delle lacune di sicurezza», afferma Michael Levin , e vicepresidente della sicurezza informatica aziendale presso Optum, la società specializzata in tecnologie e servizi informatici per il settore sanitario che fa parte del Gruppo UnitedHealth. «Abbiamo individuato i problemi, ma non sono stati tutti risolti.»
Gli hacker si avventano sui feriti
Le prime settimane della pandemia negli Stati Uniti hanno gettato la nazione nel panico, mentre le strutture sanitarie faticavano a far fronte alla crisi che si stava rapidamente aggravando. Per i CISO e gli esperti di sicurezza informatica, è stato un periodo intenso, caratterizzato da caos e confusione. Nel mese di marzo, l’HHS ha vietato le visite non legate al COVID-19 presso le strutture sanitarie in tutti i 50 stati. Di conseguenza, le visite mediche sono passate alla modalità virtuale tramite applicazioni video quali Zoom e FaceTime, poiché l’HHS ha allentato le restrizioni previste dall’HIPAA relative all’e sui canali di telemedicina disponibili.
“I CISO erano distratti, pertanto non hanno potuto occuparsi delle questioni di sicurezza su cui normalmente si sarebbero concentrati.”Drex DeFord, ex responsabile informatico presso Steward Health Care e Scripps Health
Il prezzo da pagare per la rapidità è stata una serie di nuove vulnerabilità di sicurezza. Gli hacker hanno preso di mira le sessioni di telemedicina condotte su Zoom, secondo uno studio condotto dal dipartimento di ricerca dell’azienda produttrice di software di sicurezza Check Point. (Da allora Zoom ha potenziato i propri protocolli di crittografia.)
«C’era molta disperazione», afferma Drex DeFord, ex CIO presso Steward Health Care e Scripps Health, due delle più grandi reti sanitarie degli Stati Uniti, nonché fondatore della società di consulenza nel settore IT sanitario Drexio. «Se i medici utilizzano Zoom o FaceTime, qual è la procedura prevista? Esiste un protocollo? Nel frattempo, i CISO erano distratti, ad esempio dal tentativo di allestire centri di test “drive-through”, e non potevano quindi occuparsi delle questioni di sicurezza su cui normalmente si sarebbero concentrati.”
Gli hacker non hanno perso tempo nel sferrare attacchi malware. Da marzo ad aprile si è registrato un aumento del 117% degli avvisi di sicurezza relativi alla reputazione degli indirizzi IP, segno di un aumento del traffico proveniente da siti web sospetti, e un aumento del 56% degli incidenti di sicurezza endpoint , il che significa che un numero maggiore di attacchi hacker e malware ha raggiunto i propri obiettivi, secondo uno studio congiunto settembre 2020 condotto dalla società di valutazione della sicurezza SecurityScorecard e dall’organizzazione di ricerca sul dark web Dark Owl. Il rapporto ha evidenziato che l’aumento dell’impronta digitale dei fornitori di servizi di telemedicina ha ampliato la superficie di attacco.
[Legga anche: Misure concrete che può adottare per proteggere la Sua organizzazione sanitaria]
La telemedicina diventa bersaglio del phishing
La confusione e l’incertezza dilaganti delle prime settimane della pandemia hanno inoltre reso medici e pazienti facili bersagli di attacchi di phishing di tipo “ ”. Gli hacker hanno inviato ai pazienti e-mail ingegnose contenenti link fasulli che promettevano “vaccini contro il COVID” e cure.
«Le e-mail di phishing erano davvero ingegnose», afferma DeFord. «Un medico potrebbe ricevere un messaggio del tipo: “Clicchi qui per conoscere il tasso di contagio da COVID di oggi nella Sua zona”.» Naturalmente, i medici desiderano disporre delle informazioni più aggiornate, e così finiscono per cadere nella trappola di un link ingannevole.”
L'obiettivo dell'hacker è quello di estrarre i nomi utente e le password delle vittime dai portali sanitari in cui sono conservati dati sensibili. Tali registrazioni possono essere vendute a un prezzo compreso tra e 1.000 dollari sul dark web. Le cartelle cliniche elettroniche possono quindi essere utilizzate dai criminali per sottrarre alle compagnie assicurative decine di migliaia di dollari mediante richieste di risarcimento fraudolente. Ciò li rende di gran lunga più preziosi dei numeri di carte di credito rubate (che vengono venduti a 100 dollari) e che sono utilizzabili solo fino al raggiungimento del rispettivo limite di credito.
Tuttavia, il fenomeno del phishing diventa pericoloso quando gli hacker riescono a penetrare nella rete di un’organizzazione sanitaria, come è avvenuto negli attacchi di ottobre. Lì possono rimanere inosservati per mesi (da una mediana di 54 giorni fino a un massimo di 700 giorni).
Durante tale periodo, i criminali informatici possono sottrarre dati, installare malware, appropriarsi dei diritti di amministratore di rete e, infine, sferrare un attacco ransomware come quello che ha paralizzato l’UHS. Con la vita dei propri pazienti in gioco, è molto probabile che una struttura sanitaria paghi un ingente riscatto. In fact, since 2016, a total of 172 ransomware attacks have cost U.S. healthcare organizations more than $157 million, according to a febbraio 2020 study by Comparitech, a consumer-facing tech services research site.
Migliori pratiche per la telemedicina — e non solo
Il settore sanitario è uscito rafforzato dai primi mesi della pandemia. A tutti i livelli, ha implementato protocolli di crittografia e sicurezza più efficaci. «Fin dall’inizio si sono registrate pratiche inadeguate», afferma Levin, vicepresidente di Optum responsabile della sicurezza informatica aziendale. «Da allora, tutti sono maturati.»
Ad esempio, le prime visite di telemedicina tramite Zoom hanno lasciato il posto a canali di videoconferenza sicuri e conformi alla normativa HIPAA, sviluppati internamente dai sistemi sanitari e dagli ospedali oppure concessi in licenza da fornitori terzi di soluzioni di sicurezza cloud. L'elemento fondamentale delle linee guida HIPAA è la tutela della riservatezza delle informazioni sanitarie dei pazienti. Durante questo periodo, i CISO impegnati nello sviluppo di piattaforme proprietarie di telemedicina hanno cercato di integrare e verificare i protocolli di crittografia e di autenticazione a più fattori in conformità con gli standard HIPAA.
Levin offre inoltre i seguenti consigli ai CIO e ai CTO del settore sanitario per garantire la sicurezza dei dispositivi e la protezione dei dati:
Gestite i vostri endpoint: Concentratevi sul rafforzamento della sicurezza degli endpoint e sulla gestione dei diritti di accesso amministrativi. Il software Endpoint Detection and Response (EDR ) consente di Detect i tentativi di violazione dei Suoi dispositivi da parte di soggetti sconosciuti. Levin raccomanda inoltre di utilizzare strumenti quali i “software di whitelist”, che autorizzano le applicazioni prima che possano essere eseguite sui vostri dispositivi.
Formi il Suo personale: Gli attacchi di phishing sofisticati, così come gli attacchi di “spoofing”, mirano a sfruttare la fiducia o la disattenzione dei lavoratori per penetrare nelle reti protette. Secondo uno studio di Verizon, gli errori commessi dai dipendenti rappresentano ben il 42% delle violazioni nel settore sanitario. La formazione iniziale, così come l’apprendimento e lo sviluppo continui, dovrebbero mettere in evidenza tali rischi; tuttavia, come osserva Levin, «non è possibile eliminare il rischio al 100 per cento solo attraverso la formazione».
Automatizzare i flussi di lavoro relativi alla sicurezza: Per gli amministratori di rete IT sottoposti a forte stress, l’intelligenza artificiale è il loro miglior alleato in materia di sicurezza informatica. I progressi nel campo dell’apprendimento automatico non supervisionato consentono all’intelligenza artificiale di monitorare costantemente le reti alla ricerca di anomalie nei tentativi di accesso, segnalando in tempo reale le attività sospette.
Zero-trust 24/7: Il modello operativo zero-trust presuppone che ogni soggetto all’interno di un perimetro di sicurezza debba essere autenticato in ogni momento. È necessario un impegno meticoloso per identificare e monitorare ogni singolo accesso alla rete da ogni dispositivo, mappandone tutti i punti di connessione. Detto questo, secondo Levin si tratta dell’approccio migliore per rafforzare la sicurezza di una rete sanitaria complessa.
Se la pandemia ci ha insegnato qualcosa, è che il settore sanitario, compresa la telemedicina, dovrà sempre fare i conti con una certa insicurezza delle reti. Tuttavia, lo stress test radicale causato dal COVID-19 may e ha effettivamente contribuito a migliorare la situazione.
«La situazione è in realtà molto più sicura rispetto a sei mesi fa», osserva Levin. «Il COVID è ormai una realtà con cui dobbiamo convivere. Ci rendiamo conto che la telemedicina è ormai una realtà destinata a durare a lungo. «Ci ha davvero spinto ad adottare pratiche migliori.»
Illustrazione di Dan Bejar
