Attacco ransomware all'ospedale di Winnipeg colpisce HVAC e controllo accessi

I sistemi fisici di un ospedale diventano il bersaglio

Il Health Sciences Centre Winnipeg, il più grande ospedale del Manitoba, sta indagando su un incidente ransomware che ha interrotto i sistemi di manutenzione della struttura, inclusi i controlli degli accessi alle porte e il riscaldamento, la ventilazione e il condizionamento dell'aria (HVAC). L'attacco non sembra aver preso di mira direttamente le cartelle cliniche elettroniche, ma il fatto che un operatore ransomware sia riuscito a raggiungere i sistemi di automazione degli edifici all'interno di un grande ospedale è di per sé uno sviluppo significativo che vale la pena analizzare.

Al momento, l'ospedale afferma che l'assistenza ai pazienti non è stata compromessa e che le indagini sono in corso. L'identità dell'autore della minaccia dietro l'attacco ransomware al Health Sciences Centre non è stata confermata pubblicamente. Questa incertezza è comune nelle prime fasi di una divulgazione di ransomware: le organizzazioni in genere danno priorità al contenimento e alla continuità operativa prima di nominare un aggressore o confermare l'entità dell'esposizione dei dati.

Perché le serrature delle porte e l'HVAC sono importanti per la privacy

È facile pensare che un attacco ransomware ai sistemi di controllo accessi e climatizzazione sia un problema di gestione delle strutture piuttosto che un problema di privacy. Questa ipotesi non regge bene in un ambiente ospedaliero. I sistemi di controllo accessi spesso registrano chi entra in aree riservate, come farmacie, archivi, sale server o reparti pazienti. Se tali registri, credenziali o database di controllo accessi sono stati toccati dagli operatori ransomware, ciò costituisce di per sé dati operativi sensibili che potrebbero essere esposti o manipolati.

I sistemi HVAC, nel frattempo, sono spesso collegati alle stesse reti interne che gestiscono altre infrastrutture edilizie e IT. In molte organizzazioni, i sistemi di automazione degli edifici (BAS) non sono mai stati progettati con lo stesso rigore di sicurezza dei sistemi IT clinici, eppure si trovano su reti interconnesse. Una compromissione che inizia in un angolo meno monitorato della rete, come un controller di termostato intelligente o un lettore di badge, può talvolta fungere da trampolino di lancio verso sistemi più sensibili se non è in atto una corretta segmentazione della rete. Non è ancora confermato se ciò sia accaduto in questo caso, ma l'incidente è un utile caso di studio su come il ransomware non abbia bisogno di toccare direttamente un database di pazienti per sollevare reali preoccupazioni in materia di privacy e sicurezza.

Il modello più ampio: i gruppi ransomware diversificano i loro obiettivi

Il settore sanitario è da tempo un bersaglio attraente per i gruppi ransomware perché gli ospedali non possono facilmente andare offline, il che crea pressione per pagare rapidamente. Ciò che è degno di nota nell'incidente del Health Sciences Centre è il targeting specifico dei sistemi di infrastruttura fisica piuttosto che, o in aggiunta a, le cartelle cliniche. Ciò riflette una tendenza più ampia dei gruppi di estorsione a sondare ogni sistema connesso per ottenere leva, non solo i database contenenti informazioni sanitarie personali.

Ciò rispecchia ciò che sta accadendo anche in altri settori. I gruppi di estorsione rivendicano sempre più spesso l'accesso a organizzazioni di ogni tipo, a volte con affermazioni non verificate utilizzate esclusivamente come tattiche di pressione. Il recente caso che coinvolge la rivendicazione ransomware non verificata di ShinyHunters contro Ernst & Young mostra come questi gruppi pubblicizzino presunte violazioni, a volte prima che i fatti siano completamente confermati, per massimizzare il danno reputazionale e spingere le vittime a negoziare. Le organizzazioni canadesi, comprese le istituzioni sanitarie pubbliche, non sono immuni a questo copione.

Cosa significa per te

Se sei un paziente del Health Sciences Centre Winnipeg, al momento non ci sono indicazioni che le cartelle cliniche personali siano state compromesse e l'ospedale ha dichiarato che l'assistenza ai pazienti non è stata influenzata. Detto questo, le indagini sui ransomware evolvono e la portata completa dei sistemi o dei dati toccati richiede spesso giorni o settimane per essere determinata. È ragionevole tenere d'occhio le comunicazioni ufficiali dell'ospedale piuttosto che fare affidamento esclusivamente sul brusio dei social media o sui primi resoconti giornalistici.

Più in generale, questo incidente ricorda che il rischio per la privacy non si limita a depositi di dati ovvi come cartelle cliniche o sistemi di fatturazione. Qualsiasi sistema connesso all'interno di un'organizzazione, dalle serrature delle porte ai termostati, è un potenziale punto di ingresso o una potenziale fonte di dati operativi esposti. Per le organizzazioni sanitarie canadesi e altri operatori di infrastrutture critiche, questo incidente rafforza l'importanza della segmentazione della rete tra sistemi clinici, amministrativi e di gestione degli edifici, insieme a controlli regolari dei fornitori terzi che gestiscono tali sistemi.

Consigli pratici

Per i pazienti: seguite gli aggiornamenti ufficiali del Health Sciences Centre Winnipeg e delle autorità sanitarie del Manitoba piuttosto che le affermazioni non verificate che circolano online. Per i team IT e di sicurezza degli ospedali e di altre strutture critiche: questo incidente è un valido motivo per rivedere come i sistemi di automazione degli edifici e di controllo accessi sono segmentati dalle reti principali e per garantire che i piani di risposta agli incidenti tengano conto dell'infrastruttura fisica, non solo delle violazioni dei dati. Il ransomware non si annuncia sempre tramite un database trapelato; a volte si manifesta come una porta che non si apre o un sistema che non si raffredda, e quando ciò accade, la finestra di risposta si sta già restringendo.