Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
Questo articolo presenta il primo studio su larga scala dei protocolli sanitari (DICOM, HL7 e FHIR) attraverso Internet, rivelando allarmanti falle di sicurezza, inclusi diffusi fallimenti dell'autenticazione, mancanza di crittografia del trasporto e critiche vulnerabilità del software che colpiscono migliaia di sistemi, descrivendo al contempo una campagna di divulgazione coordinata per affrontare tali rischi.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate l'internet come una città gigante e frenetica dove ogni edificio ha una porta d'ingresso. La maggior parte di queste porte è chiusa a chiave, ma alcune sono lasciate spalancate, invitando chiunque a entrare liberamente. Nel mondo della medicina, questi "edifici" sono sistemi informatici che custodiscono i nostri segreti più privati: le nostre cartelle cliniche, le radiografie e le diagnosi. Per comunicare tra loro, gli ospedali usano linguaggi speciali, o "protocolli", come il DICOM (per le immagini mediche), l'HL7 (per le cartelle cliniche generali) e il FHIR (un linguaggio più recente, basato sul web). Pensate a questi protocolli come ai dialetti specifici che medici e macchine usano per sussurrare segreti l'uno all'altro. La grande domanda che i ricercatori si sono posti è: quanti di questi edifici medici hanno le porte lasciate aperte e degli estranei che ci vagano dentro?
Questo articolo è come una squadra di detective digitali che ha deciso di camminare per le strade di internet, bussando a ogni porta che potrebbe appartenere a un ospedale. Non si sono limitati a cercare le vecchie e famose porte (DICOM); hanno controllato anche le porte più recenti e appariscenti (HL7 e FHIR) che molti assumevano fossero sicure. Hanno allestito un edificio "trappola" finto (un honeypot) per vedere chi cercava di entrare, e poi hanno compiuto una massiccia scansione dell'intero internet, controllando sia i vecchi indirizzi IPv4 che i nuovi e vastissimi indirizzi IPv6. Ciò che hanno trovato è un po' spaventoso: un numero enorme di sistemi medici è esposto, spesso senza alcuna serratura (autenticazione) o addirittura senza un tetto (crittografia), lasciando milioni di record dei pazienti esposti a chiunque abbia una connessione internet.
Il lavoro da detective: Cosa hanno fatto
I ricercatori hanno iniziato costruendo un "honeypot", che è come una casa finta e vuota lasciata su internet con un cartello che dice "Ospedale". Hanno aspettato nove mesi per vedere chi avrebbe bussato alla porta. Hanno scoperto che, mentre molti bussavano alla porta del vecchio linguaggio DICOM, quasi nessuno stava controllando le porte per HL7 o FHIR. Questo è stato sorprendente perché tutti usano questi linguaggi, ma suggeriva che gli hacker (e i ricercatori) li avevano ignorati.
Per avere il quadro completo, il team ha lanciato una massiccia scansione attraverso l'intero internet, cercando questi tre linguaggi medici su entrambi i sistemi di indirizzi internet, quello vecchio e quello nuovo. Non si sono limitati a cercare le porte; hanno provato ad aprirle. Hanno inviato messaggi speciali per vedere se i sistemi avrebbero permesso loro di entrare senza una password, e hanno controllato se i sistemi utilizzassero il "TLS", che è come un tunnel segreto che mantiene i dati al sicuro dagli occhi indiscreti mentre viaggiano. Hanno anche controllato il software in esecuzione all'interno di questi sistemi per vedere se presentasse buchi o bug noti che gli hacker potrebbero usare per prendere il controllo dell'edificio.
Le scoperte scioccanti
I risultati sono stati un campanello d'allarme. Il team ha scoperto 2.841 servizi sanitari con gravi falle di sicurezza. Ecco la suddivisione di ciò che hanno scoperto:
- Le porte aperte: Hanno trovato 1.780 sistemi DICOM che perdono dati a causa della mancanza di autenticazione. Per l'HL7, hanno trovato 903 sistemi senza autenticazione, ma poiché la maggior parte dei sistemi HL7 è progettata per inviare dati piuttosto che per riceverli, solo 30 casi sono stati confermati come effettivamente in grado di elaborare query di dati che potrebbero portare a una fuga. Inoltre, sono stati trovati 242 endpoint FHIR che perdono dati dei pazienti. In totale, 2.841 endpoint erano accessibili senza una corretta autenticazione.
- I tunnel mancanti: Un numero sbalorditivo del 94,4% di tutti i sistemi esposti non utilizzava la crittografia di trasporto. Ciò significa che se qualcuno avesse intercettato i dati, avrebbe potuto leggerli proprio come si legge una cartolina.
- Le finestre rotte: Hanno trovato 1.373 sistemi che eseguono software con vulnerabilità note e pericolose. Alcuni di questi difetti erano così gravi (con un "punteggio CVSS" fino a 9,8, vicino al livello massimo di pericolo) che un hacker potrebbe potenzialmente prendere il pieno controllo del sistema.
- Il conteggio dei pazienti: Specificamente per i nuovi sistemi FHIR, hanno identificato 242 endpoint che perdono dati, esponendo potenzialmente i record di 2.124.518 pazienti. Sebbene parte di questi possa trattarsi di dati di test, l'enorme numero è allarmante.
La "Trappola" e il controllo della realtà
I ricercatori hanno anche condotto un esperimento con un "honeypot" per vedere che tipo di problemi stavano accadendo nel mondo reale. Hanno scoperto che il server DICOM finto veniva scansionato tra le 4 e le 22 volte ogni giorno da bot automatizzati in cerca di punti deboli. Tuttavia, i loro server HL7 e FHIR finti venivano completamente ignorati. Ciò suggerisce che, mentre gli hacker stanno attivamente dando la caccia ai vecchi sistemi di immagini mediche, non hanno ancora iniziato una caccia massiccia ai nuovi sistemi di record — anche se i ricercatori avvertono che questo non significa che i nuovi sistemi siano sicuri, ma solo che non sono stati ancora bersagliati.
Cosa è successo dopo?
Il team non si è limitato a pubblicare l'elenco delle porte rotte; ha cercato di ripararle. Hanno contattato i proprietari di questi sistemi vulnerabili attraverso un processo di "divulgazione responsabile", inviando email alle persone responsabili. Hanno chiesto se i sistemi dovessero essere su internet e se fossero consapevoli dei rischi.
La risposta è stata mista. Solo 26 persone hanno risposto al loro questionario e, sebbene la maggior parte ammettesse che i sistemi erano lì intenzionalmente, solo 4 hanno dichiarato di aver risolto i problemi. Quando i ricercatori hanno scansionato nuovamente internet quattro settimane dopo, il numero di sistemi vulnerabili era cambiato pochissimo. Infatti, per i sistemi FHIR, il numero di host esposti è sceso di soli 15,08%, e per il DICOM, il cambiamento è stato un minuscolo -1,64%. Ciò suggerisce che risolvere questi problemi è incredibilmente difficile, forse perché i sistemi sono gestiti da persone che non si rendono conto di essere esposte, o perché la tecnologia è troppo complessa per essere messa in sicurezza facilmente.
Il quadro generale
L'articolo conclude che lo stato della cybersecurity nell'assistenza sanitaria è "allarmante". Non è solo che i dati vengono trapelati; è che i sistemi sono così insicuri che un hacker potrebbe potenzialmente modificare il dosaggio di un farmaco di un paziente o cancellare una diagnosi, il che potrebbe essere fatale. I ricercatori suggeriscono che il problema principale è che questi sistemi medici non sono mai stati progettati per stare su internet, eppure si trovano lì, spesso senza serrature. Sostengono che gli ospedali debbano smettere di collegare questi sistemi sensibili alla rete pubblica e iniziare a utilizzare migliori strumenti di sicurezza, ma la lenta risposta ai loro avvertimenti dimostra che questa è una sfida enorme che non è ancora stata risolta.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.