Los ciberdelincuentes atacan el sector sanitario (pero podemos defendernos)

Una versión de este artículo se publicó en Cyber Defense Magazine. Se ha actualizado aquí para su distribución.

Los ciberataques se han convertido en parte de nuestra vida cotidiana. La gente casi espera escuchar noticias sobre alguna nueva vulnerabilidad o brecha que afecte a todo, desde la banca hasta la aviación, o a dispositivos tan diversos como teléfonos inteligentes y semáforos. Incluso nuestros hogares ya no están completamente seguros. Ciudades y pueblos enteros están siendo atacados por delincuentes casi a diario, con atacantes que exigen millones en rescates para restaurar servicios críticos comprometidos.

Pero un lugar donde esperábamos sentirnos seguros era en la consulta del médico o incluso en un hospital. Las personas están en su momento de mayor vulnerabilidad cuando acuden a un proveedor de atención médica. La decencia humana exigiría que se permitiera a los médicos locales realizar su noble trabajo en paz. Desafortunadamente, eso no está sucediendo. Parece haber poco honor —o quizás pura desesperación— entre los ciberdelincuentes de hoy. De hecho, la atención sanitaria podría ser el próximo "gran" campo de batalla de la ciberseguridad, con delincuentes atacando las mismas máquinas que diagnostican problemas médicos, proporcionan tratamientos y mantienen la vida. Con una crisis sanitaria mundial desarrollándose ante nuestros ojos, es fundamental abordar esto desde múltiples puntos.

Las amenazas son cada vez más personales.

Los ataques contra el sector sanitario no son nuevos. Los ciberdelincuentes ya conocen el valor que tienen la información de los pacientes, los datos personales y los registros financieros en el submundo y en la web oscura. Esa información puede utilizarse para robar dinero directamente a los pacientes o como punto de partida para ataques secundarios como el phishing y otras estafas. No es de extrañar, pues, que muchos de los ataques más devastadores de los últimos tiempos se hayan dirigido al sector sanitario. Anthem Healthcare sufrió el robo de 80 millones de registros de pacientes. Premera perdió 11 millones de archivos personales. CareFirst tuvo un total de 1,1 millones de registros comprometidos, y la lista continúa.

Por ahora, los ataques directos contra dispositivos médicos parecen raros. Sin embargo, al menos un informe sugiere que el problema podría estar mucho más extendido, ya que los hospitales no denuncian las intrusiones o los empleados sin formación en ciberseguridad simplemente no reconocen que se está produciendo un ataque justo delante de ellos. La capacidad de comprometer dispositivos médicos de formas aterradoras, como el uso de malware para añadir tumores falsos a los resultados de tomografías y resonancias magnéticas, ha sido demostrada de forma concluyente por investigadores de seguridad. No es descabellado pensar que los atacantes ya estén haciendo lo mismo o algo similar con dispositivos médicos en el mundo real.

La atención sanitaria también es especialmente vulnerable a los ciberataques debido a su creciente dependencia de los dispositivos del Internet de las Cosas (IoT), pequeños sensores conectados a internet que generan volúmenes increíbles de información. En su mayor parte, asegurar la información producida por esos sensores, los canales que utilizan para comunicarse e incluso los propios sensores, ha sido poco más que una ocurrencia tardía. El número de vulnerabilidades potenciales que un atacante podría explotar escondidas dentro de esas redes dominadas por el IoT es probablemente casi ilimitado.

El IoT en la atención sanitaria plantea riesgos graves.

Los servicios críticos para la atención al paciente —que en algunos casos ni siquiera se imaginaban hace 20 años— son caldos de cultivo tanto para vulnerabilidades basadas en el IoT como para otras más tradicionales. Los registros médicos electrónicos, la telemedicina y la salud móvil esperaban el impulso de información que el IoT podía proporcionar. No es de extrañar que el compromiso con el IoT en el sector sanitario sea asombroso. MarketResearch.com predice que para el próximo año, el mercado de IoT en el sector sanitario alcanzará los 117.000 millones de dólares y seguirá creciendo a un ritmo del 15% anual a partir de entonces.

En ese entorno, los atacantes cualificados pueden encontrar muchas vulnerabilidades que pueden utilizarse para explotar dispositivos médicos. Los sensores IoT integrados en los dispositivos médicos generalmente se comunican y producen sus datos de una de estas dos formas. Algunos recopilan datos y luego transmiten todos sus hallazgos directamente a internet para su análisis. Otros utilizan una forma de red distribuida conocida como computación en la niebla (fog computing) donde los propios sensores forman una especie de mini-red, decidiendo colectivamente qué datos compartir con un repositorio o plataforma central. Esos datos pueden ser procesados posteriormente o accedidos directamente por los trabajadores sanitarios.

Lo que complica aún más los asuntos de ciberseguridad en la atención sanitaria es el hecho de que el sector nunca ha adoptado ni acordado estándares, métodos o protecciones para el manejo de datos. Históricamente, el sector sanitario ha sido atendido por fabricantes que ofrecían sus propias tecnologías patentadas para dispositivos médicos. Hoy en día, esto incluye los sensores IoT integrados, los canales de comunicación que utilizan los dispositivos y la plataforma para analizar los datos una vez recopilados. Esto convierte a la mayoría de las redes hospitalarias en el sueño de un hacker, o al menos en un buen campo de pruebas donde pueden explotar desde configuraciones de seguridad incorrectas hasta protección insuficiente de la capa de transporte. Pueden intentar cualquier cosa, desde falsificación de peticiones en sitios cruzados (CSRF) hasta los clásicos ataques de inyección XML.

El contraataque que necesitamos está justo delante de nosotros.

A pesar de las consecuencias potencialmente catastróficas de que se exploten estas vulnerabilidades, hay motivos para el optimismo: estos fallos de seguridad no son nuevas y poderosas puertas traseras abiertas por mentes criminales. Son tan comunes que resulta frustrante verlos una y otra vez. Parte de la razón por la que asoman su fea cabeza es el uso de sistemas heredados que no han sido parcheados a pesar de que existen soluciones, pero la otra está relacionada, una vez más, con el factor humano. Los desarrolladores escriben código a un ritmo vertiginoso y se concentran en un producto final funcional y atractivo... no en las mejores prácticas de seguridad.

Simplemente se está creando demasiado software para que los especialistas en seguridad de aplicaciones (AppSec) puedan seguir el ritmo, y no podemos esperar que salven la situación constantemente con estas vulnerabilidades recurrentes. Es más barato, más eficiente y claramente mucho más seguro si estas vulnerabilidades no se introducen en primer lugar, y eso significa que los equipos de seguridad y los desarrolladores deben esforzarse al máximo para crear una cultura de seguridad sólida y de extremo a extremo.

¿Cómo es exactamente una gran cultura de seguridad? Aquí hay algunos elementos clave:

• Los desarrolladores cuentan con las herramientas y la formación necesarias para eliminar errores comunes (y entender por qué es tan importante hacerlo)
• La formación es integral, fácil de digerir y aprovecha las fortalezas de los desarrolladores
• Los resultados de la formación se miden adecuadamente, con métricas e informes (no solo un ejercicio de marcar casillas y seguir adelante)
• AppSec y los desarrolladores empiezan a hablar el mismo idioma: después de todo, en una cultura de seguridad positiva, trabajan para lograr objetivos similares.

La posibilidad de un desastre sigue siendo enorme y va mucho más allá de que roben los registros médicos de un paciente. Inyectar tumores falsos en una exploración podría devastar a una persona que espera ansiosamente saber si tiene cáncer. Y cambiar medicamentos o alterar planes de tratamiento podría acabar con su vida. Pero solo hace falta un ciberdelincuente dispuesto a cruzar esa línea por dinero para garantizar que sucederá. Quizás la próxima estafa de ransomware no cifre los datos de un hospital, sino que arruine los diagnósticos de miles de pacientes. O quizás un atacante amenace con alterar los medicamentos a menos que le paguen, manteniendo vidas literalmente como rehenes.

Está claro que ya no podemos seguir con el enfoque de "siempre" en lo que respecta a la ciberseguridad en el sector sanitario. No podemos depender de uno o dos especialistas en las organizaciones de salud para solucionar cada problema. En su lugar, necesitamos desarrolladores conscientes de la seguridad que trabajen en aplicaciones y dispositivos médicos para identificar posibles problemas y corregirlos antes de que se implementen en los centros. Incluso el personal sanitario podría beneficiarse de una formación básica en ciberseguridad.

Es cierto que nada es más importante que la salud. En el sector sanitario, mantener una buena ciberseguridad de cara al futuro dependerá de fomentar una mejor concienciación general sobre seguridad hoy mismo. Sin un tratamiento serio, este es un problema que solo irá a peor.