Os gangs de ransomware aperfeiçoaram uma tática que torna as organizações de saúde especialmente vulneráveis: a dupla extorsão. Em vez de simplesmente bloquearem os sistemas de hospitais ou seguradoras e exigirem um pagamento para restaurar o acesso, os atacantes agora roubam primeiro ficheiros confidenciais e depois ameaçam divulgar esses dados publicamente se o resgate não for pago. Para os pacientes, isto significa que as consequências de uma violação de dados de saúde não terminam com uma interrupção do sistema. Pode significar que registos profundamente pessoais, incluindo notas de saúde mental e históricos de tratamentos, acabem expostos online.

O Que É o Ransomware de Dupla Extorsão?

Os ataques de ransomware tradicionais eram relativamente simples: encriptar os ficheiros da vítima e depois exigir um pagamento pela chave de desencriptação. A dupla extorsão acrescenta uma segunda camada de pressão. Antes de encriptar o que quer que seja, os atacantes extraem silenciosamente cópias dos dados confidenciais. Dessa forma, mesmo que a organização vítima tenha cópias de segurança sólidas e consiga restaurar os seus sistemas sem pagar, os criminosos continuam a ter poder negocial. Podem ameaçar publicar os ficheiros roubados em sites de fugas de informação ou vendê-los a outros agentes maliciosos, forçando as organizações a uma escolha impossível entre pagar ou arriscar uma divulgação pública de dados.

Esta estratégia tornou-se comum em muitos setores, mas tem um impacto diferente na saúde. De acordo com as orientações dos National Institutes of Health sobre os riscos de violação de dados de saúde, os registos médicos possuem um tipo único de sensibilidade que outros dados roubados geralmente não têm. Um número de cartão de crédito divulgado pode ser cancelado e reemitido. Um diagnóstico de saúde mental, estatuto de VIH ou registo de tratamento de abuso de substâncias divulgado não pode ser anulado depois de se tornar público.

Porque É Que os Dados de Saúde São um Alvo Principal

Prestadores de cuidados de saúde, seguradoras e os seus muitos fornecedores terceiros detêm enormes quantidades de informação: números de Segurança Social, detalhes de seguros, históricos de prescrições e notas clínicas. Esta combinação torna os dados de saúde extraordinariamente valiosos nos mercados clandestinos e extraordinariamente dolorosos de ver expostos. Os atacantes sabem disto, e é por isso que o setor se tornou um alvo preferencial para operações de ransomware que recorrem à dupla extorsão.

Também vale a pena notar que as organizações de saúde funcionam frequentemente em redes complexas e interligadas que envolvem sistemas de registos de saúde eletrónicos, plataformas de faturação, centrais de seguros e contratados externos. Cada uma dessas ligações é um potencial ponto de entrada. Uma falha num único fornecedor pode propagar-se e expor pacientes em toda uma rede de prestadores.

Está em Risco Mesmo que Nunca Tenha Escolhido o Prestador

Um dos aspetos mais frustrantes dos incidentes de ransomware na saúde é que os pacientes frequentemente não têm uma relação direta com a organização que foi violada. Os seus dados podem passar por um laboratório que processa as suas análises ao sangue, uma empresa de faturação para a qual o consultório do seu médico subcontrata, ou um intermediário de seguros de que nunca ouviu falar. Não escolheu estas organizações, não pode verificar facilmente as suas práticas de segurança e, no entanto, uma violação em qualquer uma delas pode colocar as suas informações pessoais de saúde em risco.

Isto faz parte da razão pela qual o problema do ransomware no setor da saúde é uma preocupação partilhada e não individual. Nenhum nível de cautela pessoal isola completamente um paciente de uma violação nos sistemas de back-end de um hospital, laboratório ou seguradora.

Como Proteger os Seus Registos Médicos

Embora não possa controlar a forma como cada fornecedor de saúde protege a sua rede, pode reduzir a sua própria exposição ao interagir com portais de pacientes, plataformas de telessaúde e sites de seguros.

Utilize uma VPN ao aceder a portais de saúde em Wi-Fi público ou partilhado, como numa clínica, aeroporto ou café. Isto encripta a sua ligação para que as credenciais de início de sessão e os dados da sessão não sejam facilmente intercetados em redes não seguras.

Ative a autenticação multifator em todos os portais de pacientes e contas de seguros que a ofereçam. Mesmo que as credenciais sejam comprometidas numa violação noutro local, a MFA acrescenta uma barreira crítica contra acessos não autorizados.

Utilize palavras-passe únicas e fortes para cada conta relacionada com a saúde, em vez de reutilizar uma palavra-passe de outro site. O credential stuffing, em que os atacantes experimentam palavras-passe roubadas em vários serviços, é uma prática comum após as violações.

Monitorize as faturas do seguro e as contas médicas para detetar cobranças ou serviços desconhecidos, o que pode ser um sinal precoce de que as suas informações de saúde foram utilizadas indevidamente.

Pergunte diretamente aos seus prestadores sobre as suas práticas de segurança de dados e notificação de violações. Os pacientes têm o direito de compreender como as suas informações são protegidas.

O Que Isto Significa Para Si

O ransomware de dupla extorsão alterou os cálculos tanto para as organizações de saúde como para os pacientes. Já não se trata apenas de saber se um hospital consegue restaurar os seus sistemas após um ataque. Trata-se de saber se os seus registos pessoais mais sensíveis acabam por ser publicados para que qualquer pessoa os encontre. Como os pacientes muitas vezes não podem escolher quais os fornecedores que tratam dos seus dados nos bastidores, a vigilância pessoal é mais importante do que nunca, embora não seja uma solução completa.

A realidade é que os incidentes de ransomware na saúde provavelmente continuarão enquanto a dupla extorsão for lucrativa para os atacantes. Reforçar a segurança da sua própria conta, utilizar uma VPN em redes não seguras e manter-se atento a atividades incomuns na conta não impedirá uma violação no seu prestador, mas pode limitar os danos que o atingem pessoalmente.

Manter-se informado sobre como estes ataques funcionam e tomar as medidas de proteção básicas descritas acima é uma das poucas formas de controlo que os pacientes realmente têm neste cenário. Pequenos hábitos como ativar a MFA e encriptar a sua ligação em redes públicas somam-se, especialmente à medida que as táticas de dupla extorsão continuam a visar o setor da saúde em grande escala.