O que aconteceu no hospital canadense

Um ataque de ransomware a um hospital no Canadá afetou muito mais do que computadores administrativos e registros de pacientes. De acordo com informações do Cybersecurity Insiders, o ataque derrubou sistemas de controle de portas, elevadores, ventilação e ar condicionado dentro da unidade, obrigando a equipe a gerenciar o funcionamento físico do edifício sem os sistemas automatizados em que normalmente confiam.

Este é um desvio notável dos incidentes de ransomware que costumam ganhar as manchetes. A maior parte da cobertura de casos de ataque de ransomware a hospitais no Canadá e em outros lugares tem se concentrado em dados roubados de pacientes, registros de faturamento ou informações de seguros. Este incidente é diferente porque mostra os atacantes alcançando a tecnologia operacional que mantém um hospital funcionando fisicamente, e não apenas os sistemas de TI que armazenam seus registros.

Embora detalhes sobre o grupo específico de ransomware por trás deste ataque, o nome do hospital e o valor do resgate exigido não tenham sido divulgados nos relatos iniciais, a disrupção em si é a história. Quando portas, elevadores e sistemas de climatização ficam fora do ar em um hospital, o impacto passa de um problema de TI para um problema de segurança do paciente quase imediatamente.

Por que o ransomware agora mira sistemas físicos de hospitais, não apenas registros

Os hospitais se tornaram alvos atraentes de ransomware por um motivo simples: eles não podem arcar com paralisações prolongadas como outras empresas. Um varejista com servidores criptografados pode perder vendas por alguns dias. Um hospital com ventilação desativada, portas trancadas ou elevadores que não funcionam enfrenta riscos imediatos ao atendimento ao paciente, ao controle de infecções e à resposta a emergências.

Muitos hospitais operam sistemas de gestão predial, controles de climatização e sistemas de controle de acesso em redes que estão conectadas, direta ou indiretamente, à mesma infraestrutura usada para computação clínica e administrativa. Quando o ransomware se espalha pela rede de um hospital, nem sempre respeita a linha entre "TI" e "instalações". Uma única brecha pode acabar afetando equipamentos de monitoramento de pacientes, fechaduras de portas e sistemas de tratamento de ar simultaneamente.

Essa mistura de risco digital e físico faz parte de um padrão mais amplo. As operações de ransomware evoluíram para uma economia criminosa madura, com afiliados dedicados, negociadores e infraestrutura construída especificamente para pressionar as vítimas a pagar rapidamente. A escala dessa atividade foi documentada em pesquisas recentes do setor que mostram ataques de ransomware atingindo níveis recordes nos últimos trimestres, o que ressalta que incidentes como o desse hospital canadense não são eventos isolados, mas parte de uma onda muito maior.

Dupla e tripla extorsão: o modelo de negócios por trás dos ataques à saúde

A lógica financeira por trás desses ataques evoluiu consideravelmente. O ransomware tradicional simplesmente criptografava arquivos e exigia pagamento por uma chave de descriptografia. Hoje, muitas operações usam táticas de dupla extorsão: roubar dados confidenciais antes de criptografar os sistemas e depois ameaçar vazar esses dados publicamente se o resgate não for pago. Alguns grupos vão ainda mais longe, usando abordagens de tripla extorsão que adicionam pressão sobre clientes, pacientes ou parceiros comerciais da organização vítima.

Para os hospitais, isso cria um cálculo difícil. Mesmo que os sistemas de backup permitam que uma unidade restaure arquivos criptografados sem pagar, a ameaça de vazamento de dados de pacientes ou, em casos como este, a interrupção contínua dos sistemas físicos do edifício, aumenta a pressão para negociar. Agências de aplicação da lei em vários países tomaram medidas para desarticular os indivíduos e as redes por trás das principais operações de ransomware, incluindo ações de sanções contra operadores ligados a infraestruturas conhecidas de ransomware, como as sanções impostas ao administrador do Trickbot conhecido como Stern. Ainda assim, o modelo de negócios subjacente continua lucrativo o suficiente para que novos ataques continuem surgindo contra alvos do setor de saúde.

O que pacientes e profissionais de saúde podem fazer para proteger seus dados

Para os pacientes, há pouco controle direto sobre como um hospital protege sua rede, mas ainda existem medidas significativas que vale a pena adotar. Os pacientes afetados por um incidente cibernético em um prestador de serviços de saúde devem ficar atentos a notificações oficiais de violação, monitorar extratos de seguros e cobranças em busca de atividades desconhecidas e ter cautela com tentativas de phishing que façam referência ao incidente. A dimensão do que pode dar errado quando dados de saúde são expostos ficou clara com a violação da Change Healthcare que afetou mais de 190 milhões de registros, que mostrou como um único incidente de ransomware no setor de saúde pode se propagar e afetar pacientes muito além do alvo inicial.

Os profissionais de saúde e administradores de TI, enquanto isso, devem tratar este incidente como um lembrete para segmentar a tecnologia operacional, como controle de acesso a edifícios e sistemas de climatização, das redes clínicas e administrativas sempre que possível. Backups regulares, planos de resposta a incidentes testados e protocolos claros de comunicação para operações prediais durante um incidente cibernético não são mais opcionais. São requisitos básicos para instalações onde uma interrupção de rede pode se traduzir diretamente em um risco à segurança.

O que isso significa para você

Este ataque de ransomware a um hospital no Canadá é um sinal de que as ameaças de ransomware ultrapassaram os arquivos roubados e chegaram aos espaços físicos onde o atendimento é prestado. Quer você seja um paciente, um funcionário de hospital ou simplesmente alguém que acompanha notícias de cibersegurança, a conclusão é a mesma: os incidentes de ransomware na saúde cada vez mais trazem consequências que vão muito além da privacidade de dados. Manter-se alerta às notificações de violação, entender como esses ataques se desenrolam e apoiar práticas de segurança mais robustas nas instituições de saúde são maneiras práticas de responder a uma ameaça que não vai desaparecer tão cedo.