Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
Este artigo apresenta o primeiro estudo em larga escala de protocolos de saúde (DICOM, HL7 e FHIR) através da Internet, revelando falhas de segurança alarmantes, incluindo falhas generalizadas de autenticação, falta de criptografia de transporte e vulnerabilidades críticas de software que afetam milhares de sistemas, enquanto detalha uma campanha de divulgação coordenada para abordar esses riscos.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine a internet como uma cidade gigante e movimentada onde cada edifício tem uma porta frontal. A maioria dessas portas está trancada, mas algumas estão escancaradas, convidando qualquer um para entrar. No mundo da medicina, esses "edifícios" são sistemas de computador que guardam nossos segredos mais privados: nossos prontuários médicos, raios-X e diagnósticos. Para conversarem entre si, os hospitais usam linguagens especiais, ou "protocolos", como o DICOM (para imagens médicas), HL7 (para registros gerais de pacientes) e FHIR (uma linguagem mais nova, baseada na web). Pense nesses protocolos como os dialetos específicos que médicos e máquinas usam para sussurrar segredos uns aos outros. A grande questão que os pesquisadores têm feito é: quantos desses edifícios médicos estão com suas portas deixadas destrancadas, e há estranhos rondando por aí?
Este artigo é como uma equipe de detetives digitais que decidiu caminhar pelas ruas da internet, batendo em cada porta que pudesse pertencer a um hospital. Eles não olharam apenas para as portas antigas e famosas (DICOM); eles também verificaram as portas mais novas e chamativas (HL7 e FHIR) que muitos assumiam serem seguras. Eles montaram um edifício de "armadilha" falso (um honeypot) para ver quem estava tentando invadir, e então realizaram uma varredura massiva por toda a internet, verificando tanto os endereços IPv4 antigos quanto os novos e enormes endereços IPv6. O que encontraram foi um pouco assustador: um número enorme de sistemas médicos está exposto, muitas vezes sem qualquer tranca (autenticação) ou mesmo sem um telhado (criptografia), deixando milhões de registros de pacientes expostos a qualquer pessoa com uma conexão de internet.
O Trabalho de Detetive: O Que Eles Fizeram
Os pesquisadores começaram construindo um "honeypot", que é como uma casa falsa e vazia deixada na internet com uma placa dizendo "Hospital". Eles esperaram nove meses para ver quem bateria à porta. Descobriram que, embora muitas pessoas estivessem batendo à porta da antiga linguagem DICOM, quase ninguém estava verificando as portas para HL7 ou FHIR. Isso foi surpreendente porque todos usam essas linguagens, mas sugeriu que hackers (e pesquisadores) as haviam ignorado.
Para ter o quadro completo, a equipe lançou uma varredura massiva por toda a internet, procurando por essas três linguagens médicas em ambos os sistemas de endereçamento de internet antigos e novos. Eles não apenas procuraram as portas; eles tentaram abri-las. Enviaram mensagens especiais para ver se os sistemas permitiriam sua entrada sem uma senha, e verificaram se os sistemas estavam usando "TLS", que é como um túnel secreto que mantém os dados seguros contra olhares curiosos enquanto eles viajam. Eles também verificaram o software rodando dentro desses sistemas para ver se ele possuía quaisquer brechas ou bugs conhecidos que hackers poderiam usar para assumir o controle do edifício.
As Descobertas Chocantes
Os resultados foram um alerta. A equipe encontrou 2.841 serviços de saúde que apresentavam falhas de segurança graves. Aqui está o detalhamento do que descobriram:
- As Portas Abertas: Encontraram 1.780 sistemas DICOM vazando dados devido à falta de autenticação. Para o HL7, encontraram 903 sistemas sem autenticação, mas como a maioria dos sistemas HL7 é projetada para enviar dados em vez de recuperá-los, apenas 30 casos foram confirmados como processando de fato consultas de dados que poderiam levar a um vazamento. Além disso, 242 endpoints FHIR foram encontrados vazando dados de pacientes. No total, 2.841 endpoints estavam acessíveis sem a devida autenticação.
- Os Túneis Ausentes: Um número impressionante de 94,4% de todos os sistemas expostos encontrados não utilizava criptografia de transporte. Isso significa que, se alguém interceptasse os dados, poderia lê-los tão facilmente quanto se lê um cartão postal.
- As Janelas Quebradas: Encontraram 1.373 sistemas rodando softwares com vulnerabilidades perigosas conhecidas. Algumas dessas falhas eram tão graves (com uma "pontuação CVSS" de até 9,8, que é próximo do nível máximo de perigo) que um hacker poderia potencialmente assumir o controle total do sistema.
- A Contagem de Pacientes: Especificamente para os sistemas FHIR mais novos, identificaram 242 endpoints que estavam vazando dados, potencialmente expondo registros de 2.124.518 pacientes. Embora parte disso possa ser dados de teste, o número absoluto é alarmante.
A "Armadilha" e o Choque de Realidade
Os pesquisadores também realizaram um experimento de "honeypot" para ver que tipo de problema estava ocorrendo no mundo real. Descobriram que o servidor DICOM falso foi escaneado entre 4 e 22 vezes todos os dias por bots automatizados em busca de pontos fracos. No entanto, seus servidores HL7 e FHIR falsos foram completamente ignorados. Isso sugere que, embora os hackers estejam caçando ativamente os antigos sistemas de imagens médicas, eles ainda não começaram uma caçada massiva pelos sistemas de registros mais novos — embora os pesquisadores alertem que isso não significa que os sistemas mais novos sejam seguros, apenas que ainda não foram alvo.
O Que Aconteceu Depois?
A equipe não apenas publicou a lista de portas quebradas; eles tentaram consertá-las. Eles contataram os proprietários desses sistemas vulneráveis através de um processo chamado "divulgação responsável", enviando e-mails para os responsáveis. Perguntaram se os sistemas deveriam estar na internet e se eles tinham conhecimento dos riscos.
A resposta foi mista. Apenas 26 pessoas responderam ao seu questionário e, embora a maioria tenha admitido que os sistemas estavam lá de propósito, apenas 4 disseram que haviam corrigido os problemas. Quando os pesquisadores escanearam a internet novamente quatro semanas depois, o número de sistemas vulneráveis mal havia mudado. Na verdade, para os sistemas FHIR, o número de hosts expostos caiu apenas 15,08%, e para o DICOM, a mudança foi de apenas -1,64%. Isso sugere que corrigir esses problemas é incrivelmente difícil, talvez porque os sistemas sejam operados por pessoas que não percebem que estão expostas, ou porque a tecnologia é complexa demais para ser protegida facilmente.
O Quadro Geral
O artigo conclui que o estado da cibersegurança na saúde é "alarmante". Não é apenas que os dados estão sendo vazados; é que os sistemas são tão inseguros que um hacker poderia potencialmente alterar a dosagem de medicação de um paciente ou deletar um diagnóstico, o que pode ser fatal. Os pesquisadores sugerem que o principal problema é que esses sistemas médicos nunca foram feitos para estarem na internet, mas estão lá, muitas vezes sem qualquer tranca. Eles argumentam que os hospitais precisam parar de conectar esses sistemas sensíveis à rede pública e começar a usar melhores ferramentas de segurança, mas a resposta lenta aos seus alertas mostra que este é um desafio massivo que ainda não foi resolvido.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.