O renovado esforço do FBI pelo compartilhamento de inteligência de ameaças
O FBI está pedindo às organizações de saúde que façam algo que muitas delas historicamente evitaram: falar abertamente sobre os ataques cibernéticos que sofreram. De acordo com relatos, a agência está instando as empresas do setor de saúde a compartilharem o que sabem sobre as ameaças que encontraram, à medida que os ataques de ransomware contra o setor continuam em ritmo constante. A mensagem é direta. Quando um hospital ou clínica é atingido por um grupo de ransomware, as táticas, ferramentas e indicadores de comprometimento usados naquele ataque podem ajudar outras organizações a se defender — mas apenas se essa informação for realmente repassada.
Essa ideia não é nova nos círculos de segurança cibernética. As agências de aplicação da lei há muito defendem que o compartilhamento de inteligência de ameaças funciona como um sistema de alerta precoce em toda uma indústria. Se um hospital em um estado identifica uma campanha de phishing ou uma variante específica de ransomware, e essa informação chega ao FBI e é distribuída a outros provedores de saúde, isso pode reduzir a janela de oportunidade que os atacantes têm para explorar a mesma tática em outro lugar. A ênfase renovada do FBI nesse ponto sugere que, apesar de anos de alertas, a informação ainda não flui tão livremente quanto os investigadores gostariam.
Por que as organizações de saúde permanecem em silêncio
Vale a pena questionar, editorialmente, por que as organizações de saúde hesitariam em compartilhar detalhes de ataques em primeiro lugar. Existem razões práticas que vão além da simples relutância. Comunicar um ataque pode atrair escrutínio regulatório, levantar questionamentos de pacientes e parceiros e abrir portas para litígios. As equipes jurídicas e de TI dos hospitais frequentemente agem com cautela, ponderando as obrigações de divulgação em relação ao risco à reputação. Em um setor já sobrecarregado em termos de orçamento e pessoal de segurança cibernética, tomar a medida adicional de compilar e compartilhar detalhes da ameaça com as autoridades ou colegas do setor pode simplesmente cair na lista de prioridades, especialmente no caos imediato da resposta a uma violação em andamento.
Nada disso significa que as organizações de saúde estejam agindo de má-fé. Significa que os incentivos em torno da divulgação são complicados, e o apelo do FBI é essencialmente uma tentativa de mudar esse cálculo, argumentando que a inteligência compartilhada beneficia a todos, incluindo a organização que a está compartilhando. Essa dinâmica não é exclusiva dos hospitais. Operadores de infraestrutura crítica enfrentam uma tensão semelhante, como visto quando a CISA alertou sobre um aumento de ataques a CLPs de serviços públicos de água, outro setor em que o compartilhamento oportuno de informações entre operadores e agências federais é tratado como uma defesa de linha de frente, e não como uma reflexão tardia.
O custo do silêncio para pacientes e consumidores
Quando as organizações de saúde permanecem em silêncio sobre as ameaças cibernéticas que enfrentam, as pessoas que, em última análise, assumem o risco são os pacientes. Os registros médicos contêm alguns dos dados pessoais mais sensíveis que existem, desde diagnósticos e históricos de tratamento até informações de seguros e faturamento. Uma notificação de violação atrasada, ou a falta de inteligência compartilhada que poderia ter evitado um segundo ataque, traduz-se diretamente em mais registros expostos e mais pessoas deixadas no escuro sobre seus próprios dados.
Esse padrão de divulgação lenta ou incompleta não se limita à saúde. Ele aparece sempre que organizações pesam a transparência contra preocupações de reputação de curto prazo, como visto em casos como a suposta violação de agências governamentais dos EAU reivindicada pelo grupo Handala, em que a escala da violação se torna pública através das próprias alegações do atacante, e não por uma divulgação proativa. À parte, uma pesquisa da Proofpoint revelou que organizações que pagam resgates de ransomware são frequentemente atacadas novamente, um lembrete de que o tratamento silencioso e reativo de incidentes de ransomware raramente resolve a vulnerabilidade subjacente, independentemente de o resgate ser pago ou não.
O que isso significa para você
Se você é paciente de um provedor de saúde, provavelmente tem visibilidade limitada sobre quão bem essa organização compartilha inteligência de ameaças ou lida internamente com incidentes de ransomware. Mas ainda há passos que estão sob seu controle. Pergunte aos seus provedores de saúde sobre suas políticas de segurança de dados e notificação de violações. Preste atenção às cartas de notificação de violação quando elas chegarem e aja rapidamente, em vez de deixá-las de lado. Considere usar senhas fortes e exclusivas para portais de pacientes e ative a autenticação multifator sempre que for oferecida. A criptografia de dados tanto em trânsito quanto em repouso, juntamente com ferramentas seguras de acesso remoto, como VPNs para profissionais de saúde que trabalham fora dos perímetros tradicionais da rede, desempenha um papel na redução da superfície de ataque que os grupos de ransomware exploram em primeiro lugar.
Pontos acionáveis
O apelo do FBI para que as organizações de saúde compartilhem inteligência sobre ameaças cibernéticas destaca uma lacuna estrutural que afeta todos os conectados ao sistema de saúde, não apenas os departamentos de TI. À medida que os ataques de ransomware continuam visando hospitais e clínicas, uma comunicação mais rápida e aberta sobre ameaças pode significar menos ataques bem-sucedidos no futuro. Enquanto isso, os pacientes podem se proteger monitorando atentamente as notificações de violação, usando autenticação forte em qualquer portal médico e fazendo perguntas diretas aos provedores sobre suas práticas de segurança cibernética. O compartilhamento de inteligência de ameaças pode ser uma conversa política acontecendo em nível institucional, mas seu impacto no mundo real recai diretamente sobre as pessoas cujos dados estão em jogo.
