A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

Imagine o mundo digital como uma cidade gigante e movimentada, onde cada edifício é um tipo diferente de negócio. Alguns edifícios vendem brinquedos, outros vendem roupas, mas um bairro específico é o setor imobiliário mais valioso da cidade: o distrito hospitalar. Por quê? Porque dentro desses edifícios, as pessoas estão guardando segredos vitais (como registros médicos) e operando máquinas que literalmente mantêm as pessoas vivas. Se um ladrão invade uma loja de brinquedos, ele pode roubar alguns bonecos de ação. Se ele invade um hospital, pode manter todo o bairro refém, exigendo um resgate para religar as luzes, ou pode roubar segredos para vender no mercado negro. Por causa disso, os "ladrões" (criminosos cibernéticos) têm tentado invadir há anos, mas eles não estão mais usando apenas pés de cabra. Eles aprenderam a usar capas invisíveis.

Para entender como rastreamos esses ladrões, especialistas em segurança usam um mapa gigante e vivo chamado MITRE ATT&CK. Pense neste mapa não como uma lista de fechaduras, mas como um catálogo de movimentos. Ele não diz apenas "eles quebraram a janela"; ele diz "eles usaram um pé de cabra", "eles arrombaram a fechadura" ou "eles entraram pela porta da frente porque o proprietário a deixou aberta". Este mapa ajuda os defensores a saber quais truques devem vigiar. Outra ferramenta é a lista CISA Known Exploited Vulnerabilities (KEV). Se o mapa ATT&CK é o catálogo de movimentos, a lista KEV é o mural de "Mais Procurados". Ela lista apenas as fechaduras quebradas e janelas abertas específicas que os ladrões realmente usaram para entrar recentemente, ignorando todos os buracos teóricos que ninguém tocou ainda. A grande questão que os pesquisadores têm feito é: "Os seguranças estão vigiando as portas certas?"

Este artigo faz um mergulho profundo nas invasões digitais nos hospitais na última década para responder a essa pergunta. Os pesquisadores atuaram como detetives digitais, reunindo uma coleção massiva de 1.214 "relatórios de crimes" de 2017 a 2024. Eles analisaram 44 grupos diferentes de atacantes, variando de gangues de crime organizado a espiões de estados-nação, e rastrearam exatamente quais movimentos eles usaram. O que encontraram é um pouco de uma reviravolta no enredo. Por muito tempo, os seguranças foram treinados para vigiar os movimentos "barulhentos": aqueles onde um ladrão quebra uma janela (Acesso Inicial) ou esconde um bilhete secreto sob um tapete (Persistência). Mas o artigo mostra que os ladrões mudaram seu estilo. Eles agora são mestres do movimento "silencioso". Em vez de invadir e se esconder, eles estão usando as próprias chaves do proprietário e entrando pela porta da frente, misturando-se com a multidão normal.

O estudo revela que o movimento mais comum que esses atacantes usam hoje é a Evasão de Defesa (Defense Evasion), que representa cerca de 15% a 20% de todas as suas ações a cada ano. Esta é a arte de permanecer invisível. Em contraste, os movimentos da "velha guarda", como "se esconder no sótão" (Persistência) e "arrombar a porta da frente" (Acesso Inicial), diminuíram significativamente em sua frequência na distribuição de dados ao longo do período 2017–2024, caindo de porcentagens de dois dígitos para zero no uso de técnicas observadas. Isso não significa que essas táticas estejam extintas ou que nunca sejam usadas, mas sim que não são mais as táticas primárias vistas nos dados em comparação com a ascensão de métodos mais furtivos. Os atacantes perceberam que, se usarem ferramentas legítimas que o hospital já possui — como o próprio centro de comando do computador ou os crachás de acesso válidos da equipe — eles não deixam pegadas. É como um ladrão que não arromba a fechadura, mas em vez disso espera o proprietário abrir a porta e então simplesmente entra e age como se pertencesse ao lugar.

Aqui está a parte assustadora: os seguranças ainda estão procurando por pegadas. O artigo encontrou uma "inversão estrutural", o que significa que o conselho de segurança é mais forte exatamente onde os ladrões são menos ativos, e mais fraco onde os ladrões são mais ativos. Os seguranças construíram sensores incríveis para capturar as invasões barulhentas e desordenadas ao final de um crime, mas têm quase nenhum sensor para os movimentos silenciosos e invisíveis que acontecem logo no início. Os pesquisadores identificaram 42 "movimentos" específicos que estão acontecendo agora, mas que mal estão sendo vigiados. Estas são as prioridades máximas para os hospitais corrigirem imediatamente.

Ainda mais interessante, o artigo mostra que isso não é apenas sobre computadores antigos. Os hospitais estão começando a usar Inteligência Artificial (IA) para ajudar médicos a diagnosticar pacientes. Os pesquisadores descobriram que os mesmos truques "silenciosos" que os ladrões usam em computadores comuns funcionam perfeitamente nesses novos sistemas de IA também. Um ladrão não precisa aprender uma nova maneira de invadir uma IA; ele apenas usa os mesmos truques antigos que tem usado há anos. O artigo conclui que precisamos parar de construir a segurança baseada no que os ladrões costumavam fazer e começar a construí-la para o que eles estão fazendo agora: entrando pela porta da frente, vestindo um uniforme e esperando que ninguém perceba que eles não deveriam estar lá. A boa notícia é que o artigo fornece uma lista de tarefas clara de 42 movimentos para bloquear e, para 12 desses 42 movimentos, as ferramentas de segurança já existem e podem ser ativadas agora mesmo gratuitamente.