Os sistemas físicos de um hospital tornam-se o alvo

O Health Sciences Centre Winnipeg, o maior hospital de Manitoba, está a investigar um incidente de ransomware que perturbou os sistemas de manutenção das instalações, incluindo os controlos de acesso a portas e os sistemas de aquecimento, ventilação e ar condicionado (HVAC). O ataque não parece ter visado diretamente os registos de saúde eletrónicos, mas o facto de um operador de ransomware ter conseguido chegar aos sistemas de automação predial dentro de um grande hospital é, por si só, um desenvolvimento significativo que merece ser analisado.

Até ao momento, o hospital afirma que os cuidados aos doentes não foram afetados e que a investigação está em curso. A identidade do agente de ameaça por trás do ataque de ransomware ao Health Sciences Centre não foi confirmada publicamente. Essa incerteza é comum nas primeiras horas após a divulgação de um ataque de ransomware: as organizações normalmente dão prioridade à contenção e à continuidade das operações antes de nomear um atacante ou confirmar a extensão da exposição de dados.

Porque é que as fechaduras das portas e o HVAC são importantes para a privacidade

É fácil assumir que um ataque de ransomware aos sistemas de controlo de acesso e de climatização é um problema das instalações e não um problema de privacidade. Essa suposição não se sustenta num ambiente hospitalar. Os sistemas de controlo de acesso registam frequentemente quem entra em áreas restritas, como farmácias, arquivos de registos, salas de servidores ou enfermarias. Se esses registos, credenciais ou bases de dados de controlo de acesso foram tocados pelos operadores de ransomware, isso constitui, por si só, dados operacionais sensíveis que podem ser expostos ou manipulados.

Os sistemas de HVAC, entretanto, estão frequentemente ligados às mesmas redes internas que gerem outras infraestruturas prediais e de TI. Em muitas organizações, os sistemas de automação predial (BAS) nunca foram concebidos com o mesmo rigor de segurança que os sistemas de TI clínicos, mas encontram-se em redes interligadas. Um comprometimento que comece num canto menos monitorizado da rede, como um controlador de termóstato inteligente ou um leitor de cartões de acesso, pode por vezes servir de trampolim para sistemas mais sensíveis se não existir uma segmentação de rede adequada. Ainda não está confirmado se foi isso que aconteceu aqui, mas o incidente é um estudo de caso útil sobre como o ransomware não precisa de tocar diretamente numa base de dados de doentes para levantar preocupações reais de privacidade e segurança.

O padrão mais amplo: os grupos de ransomware diversificam os seus alvos

Os cuidados de saúde têm sido, desde há muito, um alvo atrativo para os grupos de ransomware, porque os hospitais não podem ficar offline facilmente, o que cria pressão para pagar rapidamente. O que é notável no incidente do Health Sciences Centre é o direcionamento específico dos sistemas de infraestrutura física, em vez de, ou para além dos registos clínicos. Isto reflete uma tendência mais ampla de os grupos de extorsão sondarem todos os sistemas ligados em busca de alavancagem, e não apenas as bases de dados que contêm informações pessoais de saúde.

Isto também reflete o que está a acontecer noutros setores. Os grupos de extorsão afirmam cada vez mais ter acesso a organizações de todo o tipo, por vezes com alegações não verificadas usadas simplesmente como táticas de pressão. O caso recente envolvendo a Alegação de ransomware não verificada do ShinyHunters contra a Ernst & Young mostra como estes grupos divulgam alegadas violações, por vezes antes de os factos estarem totalmente confirmados, para maximizar os danos de reputação e pressionar as vítimas a negociar. As organizações canadianas, incluindo as instituições públicas de saúde, não estão imunes a este manual.

O que isto significa para si

Se é um doente do Health Sciences Centre Winnipeg, não há atualmente qualquer indicação de que os registos de saúde pessoais tenham sido comprometidos, e o hospital declarou que os cuidados aos doentes não foram afetados. Dito isto, as investigações de ransomware evoluem e o âmbito total dos sistemas ou dados afetados demora frequentemente dias ou semanas a determinar. É razoável estar atento às comunicações oficiais do hospital, em vez de confiar apenas no ruído das redes sociais ou nas primeiras notícias.

De forma mais ampla, este incidente recorda-nos que o risco de privacidade não se limita a repositórios de dados óbvios, como os registos médicos ou os sistemas de faturação. Qualquer sistema ligado dentro de uma organização, desde as fechaduras das portas aos termóstatos, é um potencial ponto de entrada ou uma potencial fonte de exposição de dados operacionais. Para as organizações de saúde canadianas e outros operadores de infraestruturas críticas, este incidente reforça a importância da segmentação de rede entre os sistemas clínicos, administrativos e de gestão predial, juntamente com auditorias regulares aos fornecedores terceiros que gerem esses sistemas.

Conclusões práticas

Para os doentes: esteja atento a atualizações oficiais do Health Sciences Centre Winnipeg e das autoridades de saúde de Manitoba, em vez de alegações não verificadas que circulam online. Para as equipas de TI e segurança de hospitais e outras instalações críticas: este incidente é um forte argumento para rever a forma como os sistemas de automação predial e de controlo de acesso estão segmentados das redes principais, e para garantir que os planos de resposta a incidentes contemplam a infraestrutura física, e não apenas as violações de dados. O ransomware nem sempre se anuncia através de uma base de dados exposta; por vezes, surge como uma porta que não abre ou um sistema que não arrefece, e, quando isso acontece, a janela de resposta já está a diminuir.