Los fabricantes de dispositivos médicos han pasado años reforzando el hardware de marcapasos, bombas de insulina y sistemas de imagen contra ciberataques. Pero un creciente conjunto de informes sugiere que ese esfuerzo está siendo socavado por una debilidad mucho más simple: los proveedores de software de terceros que mantienen esos dispositivos funcionando, actualizados y conectados a las redes hospitalarias.
Un informe reciente de Yesil Science lo señala sin rodeos. Los fabricantes de dispositivos médicos están asegurando su hardware mientras dejan a sus proveedores de software de terceros completamente expuestos a la extorsión. En otras palabras, la puerta principal de la tecnología médica de un hospital puede estar bien cerrada con llave, pero la puerta trasera, gestionada por un proveedor externo con prácticas de seguridad más laxas, a menudo queda sin cerrar.
Por qué la seguridad del software de terceros en medtech se ha convertido en el eslabón débil
Los dispositivos médicos modernos rara vez funcionan como máquinas autónomas. Se conectan a paneles en la nube, plataformas de monitoreo remoto, sistemas de facturación y software de mantenimiento suministrado por empresas externas. Cada una de esas integraciones es un posible punto de entrada a una red de atención médica. Cuando un fabricante de dispositivos invierte en cifrado, procesos de arranque seguro y pruebas rigurosas alineadas con la FDA para el dispositivo físico, esa inversión no se extiende automáticamente a los proveedores de software conectados a él.
Este es el problema central detrás de las preocupaciones sobre la seguridad del software de terceros en medtech: un hospital o un fabricante puede tener controles internos excelentes y aun así quedar expuesto si el portal de inicio de sesión, el mecanismo de actualización o el almacenamiento en la nube de un proveedor están mal protegidos. Los atacantes entienden esta dinámica. En lugar de intentar romper directamente las sofisticadas protecciones del hardware, a menudo es más fácil comprometer a un proveedor de software más pequeño que tiene amplio acceso a datos de pacientes o a los controles de los dispositivos, y luego usar ese acceso para moverse lateralmente hacia la red más grande.
La extorsión es el riesgo específico que se destaca en el informe, y encaja con un patrón observado en otras industrias. Una vez que los atacantes obtienen acceso a través de los sistemas de un proveedor, pueden robar datos confidenciales, incluidos registros de pacientes vinculados a dispositivos específicos, y luego exigir un pago para evitar su divulgación o para restaurar el acceso a los sistemas interrumpidos. En el sector de la salud, las apuestas son más altas que en la mayoría de los sectores porque la interrupción del acceso puede afectar el monitoreo y la atención de los pacientes, no solo las operaciones financieras.
El punto ciego de los proveedores en las cadenas de suministro médicas
La conversación sobre ciberseguridad en la industria medtech se ha centrado históricamente en el dispositivo en sí: ¿puede alguien hackear un desfibrilador o reprogramar una bomba de insulina? Esos escenarios son reales, pero no son el punto de entrada más común que los atacantes utilizan realmente. Un artículo relacionado de Yesil Science sobre la vulnerable puerta trasera de las cadenas de suministro médicas describe cómo el acceso por puertas laterales a través de socios de la cadena de suministro ya ha permitido a los atacantes entrar en sistemas basados en la nube y bases de datos internas de pacientes, desplazando el objetivo real desde el dispositivo hacia los datos que lo rodean.
Esto refleja una tendencia más amplia en todos los sectores, donde los proveedores de terceros, y no la organización principal, se convierten en el punto de fallo. El escrutinio del Congreso sobre la brecha de Canvas atribuida a ShinyHunters, por ejemplo, mostró cómo una sola relación comprometida con un proveedor puede escalar hasta convertirse en un asunto de responsabilidad federal una vez que los datos de estudiantes o pacientes quedan expuestos a gran escala, como se detalla en la cobertura de las repercusiones en el Congreso de la brecha de Canvas. El paralelo para el sector de la salud es claro: los reguladores y legisladores están cada vez más dispuestos a responsabilizar a industrias enteras cuando falla la supervisión de los proveedores, no solo al proveedor en sí.
Qué significa esto para ti
Si dependes de un dispositivo médico conectado, ya sea como paciente, cuidador o profesional de la salud, este riesgo de proveedores es en gran medida invisible para ti. No puedes auditar la cadena de suministro de software de un fabricante de dispositivos, y los propios fabricantes pueden no tener visibilidad completa de la postura de seguridad de cada proveedor. Lo que sí puedes hacer es mantenerte informado sobre cómo se almacenan y comparten tus datos, preguntar a tu proveedor de atención médica si los portales de pacientes y las plataformas de dispositivos se someten a evaluaciones de seguridad de terceros de forma regular, y prestar atención a las notificaciones de brechas relacionadas con cualquier tecnología médica que utilices. Los intentos de extorsión contra proveedores a menudo salen a la luz pública una vez que se amenaza con divulgar los datos, por lo que las notificaciones de tu proveedor o fabricante de dispositivos no deben ignorarse.
Para las organizaciones de atención médica y los fabricantes de dispositivos, la conclusión es más directa: la seguridad del hardware es necesaria pero no suficiente. La gestión del riesgo de proveedores, incluidos los requisitos contractuales de seguridad, las auditorías periódicas y la coordinación de la respuesta a incidentes con terceros, necesita el mismo nivel de inversión que las protecciones a nivel de dispositivo.
Cerrar la puerta trasera
Los avances en seguridad del hardware en la industria medtech son reales, pero no cierran la brecha que dejan abierta los proveedores de software de terceros. A medida que los atacantes favorecen cada vez más el camino de menor resistencia, la seguridad del software de terceros en medtech probablemente se convertirá en un foco más importante tanto para los reguladores como para los hospitales y los fabricantes.
Los pacientes y los proveedores de atención médica pueden impulsar este progreso haciendo preguntas directas sobre la supervisión de los proveedores y tratando cualquier notificación de brecha relacionada con tecnología médica como algo que vale la pena leer con atención en lugar de descartar como papeleo rutinario. Mantenerse informado sigue siendo la herramienta más simple disponible mientras la industria trabaja para cerrar su puerta trasera.
