Il settore Healthcare è da sempre stato oggetto di attenzione da parte dei criminal hacker, non è solo una questione di coronavirus: anche per questo è importante porre la massima attenzione su quella che è la Healthcare cyber security.
La mole di dati sensibile gestiti è imponente e per sua natura preziosa e vitale per gli operatori sanitari da un lato e di incredibile valore commerciale per i criminali informatici.
Tra le varie minacce incombenti sul settore della sanità, uno su tutti sta alzando la testa: il social engineering.
Non solo una congettura, se prendiamo in considerazione alcune delle organizzazioni di punta coinvolte nella lotta al Covid-19. Ad esempio, attraverso il servizio di Domain Threat Intelligence siamo riusciti ad identificare e “contare” il numero di dati e-mail/password già disponibili e presenti nei vari e diversi database di data breach.
Il Domain Threat Intelligence è un servizio di “security intelligence” che effettua una ricerca delle informazioni pubbliche e semipubbliche relative alle vulnerabilità del dominio, sottodomini ed e-mail compromesse. Il servizio non effettua alcun test diretto sul target: opera unicamente sulle informazioni disponibili su Web, Dark Web e Deep Web.
Nello specifico, ci siamo focalizzanti sulle e-mail compromesse relative ai domini di @who.int, @nih.gov e @gatesfoundation.org. Il risultato è il seguente:
- National Institutes of Health Usa: 14.732 e-mail
- Organizzazione Mondiale della Sanità: 5.926 e-mail;
- Gates Foundation: 1.584 e-mail.
Stiamo parlando di:
- quasi tutte coppie di e-mail e password, alcune in chiaro e altre crittografate;
- fanno riferimento a coppie ridondate e duplicate su diversi database di data breach.
Questi numeri sono sintomo inconfutabile della già citata attenzione dei criminal hacker nei confronti del settore Healthcare e affini.
Ecco, quindi, che oltre ai rischi tradizionali di phishing, spam, account takeover si affaccia sempre più in questo mondo il credential stuffing. Ma andiamo per ordine.
Indice degli argomenti
Perché il Covid-19 ha messo più in luce la problematica
La parola coronavirus è diventata molto gettonata nel mondo del cyber crime.
Non è un caso che la distribuzione delle botnet nel nostro Paese ricalchi fedelmente la mappa delle zone più calde dal punto di vista del contagio. Sintomo di campagne di phishing e malspam che stanno puntando molto alle zone sensibili e già colpite, facendo proprio leva sulle paure della gente.
Ovviamente questa esposizione si riflette su tutto il sistema-Paese.
Tra i settori più colpiti o meglio ancora ambiti da parte del cyber crime in senso lato, il settore Healthcare potrebbe sicuramente avere un’attenzione – non voluta – particolarmente alta.
Agli albori della crisi la questione della sensibilità agli attacchi cyber di questo comparto aveva già diviso le opinioni degli esperti di sicurezza informatica.
Da un lato chi sosteneva che in una situazione così critica – a livello globale – anche i criminal hacker avrebbero evitato di andare a colpire ospedali ed istituti di ricerca.
Chi invece, tra cui il sottoscritto, sosteneva che il cyber crime per natura è una questione di risk-reward che spesso (ma attenzione non sempre) non guarda in faccia la vittima, quanto la vulnerabilità che essa presenta e che può essere exploitata.
Insomma, gli hacker individuano una serie di target, tutti accumunati magari dalla stessa vulnerabilità, e attaccano indiscriminatamente per infettare i bersagli con malware come il ransomware.
Sfortunatamente gli ultimi giorni hanno dato la riprova che chi si trovava da quest’ultima parte dello schieramento ha avuto ragione nella sua analisi.
Ne è testimonianza, per esempio, l’attacco ransomware sferrato contro l’ospedale di Brno in Repubblica Ceca, struttura adibita appunto alla gestione di pazienti infetti da Covid-19. Allo stesso modo anche nel Regno Unito si è verificato un episodio speculare. E come non citare l’attacco all’Organizzazione Mondiale della Sanità.
Lo scenario in Italia potrebbe essere potenzialmente ancora più pericoloso. Indubbiamente il settore Healthcare nel nostro Paese da un lato – anche se potremmo estendere il discorso a gran parte del vecchio continente – paga lo scotto di un processo di informatizzazione più lento rispetto ad altri settori. Dall’altro deve anche confrontarsi con l’arrivo massiccio e incredibilmente eterogeneo di tecnologie elettromedicali e MIoT (Medical Internet of Things) che hanno cominciato a farsi strada anche nelle strutture del nostro Paese; e ne sono sempre più parte integrale.
Questo scenario non fa altro che da cassa di risonanza per il rischio potenziale dal punto di vista della cyber security per questo settore.
Le modalità di attacco tecnico tradizionali, quindi, che sfruttano potenziali vulnerabilità nei software o hardware non possono che giovare di questa situazione incerta e – come accennato – molto eterogena.
Healthcare cyber security: social engineering e credential stuffing
Allo stesso modo, l’altra faccia della medaglia del cyber crime, l’attacco che fa leva sul social engineering, quindi sul fattore umano, è ancora più fruttuoso, perché ottenuto un primo accesso all’interno della struttura – magari attraverso un PC di un addetto sanitario che non riconosce una mail di phishing – il criminal hacker ha un perimetro ancora più ampio da sondare (Information Gathering) e poi attaccare. Si moltiplicano di n volte, quindi, i danni che una sola mail potrebbe causare con questo effetto a cascata.
Ma non è solo l’attacco “diretto” a mettere a rischio il comparto, con il moltiplicarsi dei tentativi di credential stuffing, il confine tra vita privata e vita lavorativa, anche dal punto di vita della cyber security si assottiglia.
Cosa significa?
Significa che il credential stuffing è uno dei più semplici exploit da portare a termine e quindi uno dei metodi preferiti dai criminal hacker. Con questa tecnica, l’attaccante raccoglie le credenziali trapelate (di solito esfiltrate in occasione di data breach o acquisite sul Dark Web) e le applica a una serie di altri account della vittima prescelta, sperando che la stessa combinazione di account/password sia stata utilizzata in altri account per prenderne il controllo (da qui il termine account takeover).
Sfortunatamente, la maggior parte degli utenti, grazie al proliferare di portali online e servizi simili, hanno la brutta abitudine di riutilizzare le proprie credenziali, cosa su cui contano molto i criminal hacker – motivo per il cui la tecnica è molto efficace –. È difficile immaginare che questa abitudine non sia diffusa anche nel settore dell’Healthcare.
E non si tratta neppure di un attacco che richiede skill particolarmente avanzate. Anzi, criminali con pochissima – o addirittura nessuna – esperienza informatica, grazie a software appositi, possono controllare e incrociare le credenziali di accesso di milioni di utenti rispetto a centinaia di siti web e servizi online come Netflix e Spotify in pochi minuti.
Lo scenario descritto non è solo frutto di congetture, alcuni mesi fa Swascan aveva infatti effettuato un’analisi di benchmark prendendo alcune strutture campione in tutto il territorio italiano e incrociando i domini di queste con i riscontri a livello OSINT e CLOSINT.
Da questa analisi era emersa la conferma di come le strutture fossero esposte a un elevato numero di potenziali vulnerabilità e di come moltissime mail dei dipendenti degli ospedali fossero state sottratte in occasione di data breach passati.
In questo momento il livello di attenzione nei confronti della cyber security delle nostre strutture deve, necessariamente essere alzato. È ovvio, ma vale la pena ricordare come non esista struttura più nevralgica al momento nel nostro Paese.
La speranza è sempre quella che gli incidenti occorsi in Gran Bretagna e in Repubblica Ceca siano solamente eccezioni e che i gruppi di Criminal Hacker non decidano di imperversare.
Le attività di Healthcare cyber security
Questa speranza però non è e non deve essere l’unica cosa che ci salvaguarda. È necessario attivarsi, partendo proprio da un’analisi completa dei rischi, per mettere in campo quelle misure necessarie e adeguate a bloccare e prevenire possibili futuri attacchi. La via qui percorre tre strade parallele, le attività da adottare seguono tre differenti parametri della sicurezza informatica:
- preventiva
- formazione e sensibilizzazione;
- Phishing Attack Simulation
- proattiva
- forzare il cambio password delle e-mail aziendali;
- avvisare gli utenti “compromessi” a modificare le password dei social;
- predittiva
- adottare soluzioni di Threat Intelligence per early warning relativamente ai data breach che coinvolgono i domini della propria azienda.
Healthcare cyber security e Medical IoT
Ma i rischi della trasformazione digitale nel settore sanitario, guidata da una serie di fattori, in primis quello di migliorare le cure ai pazienti fornendo servizi sanitari di alta qualità in modo più efficiente ed efficace, non passa solo dalle debolezze dovute alla scarsa aderenza alle best practice del settore e alle vulnerabilità più “umane”.
Esiste tutta l’area del Medical IoT, che sempre di più sta diventando componente strutturale dei nostri ospedali.
La tecnologia di monitoraggio remoto dei pazienti (RPM), per esempio, sta diventando uno strumento privilegiato per trasformare l’erogazione dell’assistenza sanitaria. L’RPM utilizza la tecnologia per monitorare la salute dei pazienti al di fuori di un contesto clinico tradizionale e per trasmettere dati in tempo reale a un medico o a una clinica per le analisi.
Ad esempio, una persona potrebbe avere un dispositivo cardiaco impiantato, come un pacemaker o un defibrillatore. Questo dispositivo, che è permanentemente incorporato nel corpo del paziente, trasmette i dati al medico o alla clinica.
I dati possono essere trasmessi a intervalli regolari o quando il dispositivo rileva condizioni specifiche che giustificano una comunicazione immediata con il medico, come ad esempio un cambiamento del ritmo cardiaco. In questo modo si riducono le visite mediche di routine, a meno che non si verifichi una situazione di emergenza.
I monitor cardiaci sono solo un esempio comune di utilizzo medico delle tecnologie RPM. Altri includono, tra gli altri, bracciali digitali per la pressione sanguigna, misuratori di glucosio per diabetici e monitor di sorveglianza per pazienti affetti da demenza.
Questi dispositivi si collegano a Internet per trasmettere dati alle cliniche, rendendoli parte dell’Internet degli oggetti medici (MIoT). Il mercato globale di tali dispositivi sta crescendo a un tasso di crescita annuo del 30%.
Ma quanto è sicura questa tecnologia dal punto di vista della cyber security?
La regolamentazione relativa allo sviluppo dei dispositivi medici si è concentrata sulla loro efficacia e sicurezza, ovvero su quanto bene svolgono il loro lavoro senza causare danni al paziente. Fino ad oggi, poco è stato fatto per indirizzare la sicurezza di questi dispositivi e del loro ambiente olistico, vale a dire, l’intero ciclo di vita per garantire che i dispositivi siano inizialmente privi di vulnerabilità e continuino ad esserlo, che abbiano difese intrinseche contro le minacce e che possano essere aggiornati in modo sicuro in caso di necessità.
Se la notizia delle baby cam violate qualche mese fa aveva fatto il giro del mondo, pensate all’impatto se un dispositivo di monitoraggio medico dovesse essere compromesso. Immaginate se un attacco man-in-the-middle permettesse a un criminal hacker di cambiare o cancellare i dati che vengono trasmessi da casa alla clinica. Il medico potrebbe non sapere che il paziente sta vivendo un’emergenza medica fino a quando non è troppo tardi.
Come molti altri device IoT, i dispositivi medici funzionano su software e firmware che occasionalmente necessitano di un aggiornamento da parte del produttore. Un canale insicuro – come una rete Wi-Fi domestica non protetta – potrebbe essere sfruttato per inviare malware o comandi dannosi ai dispositivi.
Uno scenario non rassicurante, basti pensare che secondo uno studio di Palo Alto Networks oltre l’80% dei dispositivi di imaging medico funziona con sistemi operativi obsoleti. Il 56 per cento dei dispositivi di imaging funziona su Windows 7, che riceve un supporto limitato e patch da Microsoft, e un altro 27 per cento dei dispositivi funziona su Windows XP o su versioni vecchie e dismesse di Linux, Unix, Windows e altri software embedded.
La necessità di intervenire a monte
I produttori di dispositivi medici hanno l’obbligo morale e l’imperativo di garantire che i loro prodotti siano privi di vulnerabilità, costantemente protetti dalle minacce informatiche e sicuri ed efficaci durante l’intero ciclo di vita del prodotto. La sicurezza dei dispositivi deve diventare una caratteristica importante nella progettazione dei prodotti tanto quanto la sicurezza fisica e l’efficacia.
Le difese informatiche tradizionali non funzioneranno per i dispositivi MIoT. Non esiste un software antivirus per verificare la presenza di intrusioni e un utente non può interagire direttamente con i dispositivi per monitorare eventuali problemi. Quindi, spetta ai produttori costruire la sicurezza nel ciclo di vita dei loro dispositivi.
I produttori devono adottare misure per proteggere i loro dispositivi. In primo luogo, nel processo DevOps, identificando, correggendo e convalidando continuamente le correzioni per i problemi di sicurezza prima che il software sia finalizzato; la fase di DevSecOps.
Per gli aggiornamenti del firmware, dovrebbe esserci un processo ben definito che garantisca che solo gli amministratori autorizzati possano apportare modifiche al dispositivo e che l’aggiornamento sia applicato correttamente.
Un errore di aggiornamento dovrebbe far scattare un allarme in modo che il dispositivo possa essere altrimenti protetto o sostituito. I pazienti devono ricevere istruzioni chiare su come installare e configurare il dispositivo e sulla rete domestica per garantire il corretto funzionamento e una connessione sicura per trasmettere i dati criptati al medico.
Questa protezione critica del ciclo di vita consente ai fornitori di assistenza sanitaria e ai loro pazienti di beneficiare del valore dei dispositivi e delle apparecchiature mediche collegate senza incorrere in rischi dovuti a un cyber attacco.
