Os especialistas da Kaspersky no ano passado encontraram 33 vulnerabilidades no protocolo mais comumente usado para transmissão de dispositivos móveis de saúde usados para monitoramento remoto de pacientes [1]. O Qualcomm Snapdragon também foi afetado.
18 vulnerabilidades são vulnerabilidades críticas. São 10 a mais do que em 2020, muitos deles ainda sem solução. Algumas dessas vulnerabilidades permitem que invasores interceptem dados enviados online do dispositivo.
Aumento de vulnerabilidades em 2021
A pandemia em curso levou a uma rápida digitalização do setor de saúde. Com hospitais e cuidadores sobrecarregados e muitas pessoas em quarentena em casa, as organizações estão sendo forçadas a repensar a maneira como os pacientes são atendidos. De acordo com um estudo recente da Kaspersky [2], 92,7% dos profissionais de saúde na Europa implementaram funções de telemedicina. No entanto, essa rápida digitalização trouxe novos riscos de segurança, principalmente quando se trata de dados de pacientes.
A telemedicina também inclui o monitoramento remoto de pacientes, que é feito por meio de dispositivos portáteis e monitores. Eles monitoram os indicadores de saúde dos pacientes, como a atividade cardíaca, continuamente ou em intervalos.
O protocolo MQTT não fornece transmissão segura de dados
O protocolo MQTT é o protocolo mais utilizado para transferência de dados de dispositivos vestíveis e sensores devido à sua facilidade de uso. É por isso que é encontrado não apenas em dispositivos vestíveis, mas também em quase todos os outros dispositivos inteligentes. No entanto, a autenticação ao usar o MQTT é totalmente opcional e raramente inclui criptografia. Isso torna o MQTT muito vulnerável a ataques man-in-the-middle, onde os invasores podem se injetar durante a comunicação entre duas partes. Como resultado, todos os dados transmitidos pela Internet podem ser roubados. No entanto, com dispositivos vestíveis, as informações processadas e enviadas podem incluir dados médicos altamente confidenciais, informações pessoais e até mesmo os movimentos de uma pessoa.
Desde 2014, 90 vulnerabilidades foram descobertas no MQTT, incluindo as críticas, muitas das quais não foram corrigidas até o momento. 2021 novas vulnerabilidades foram descobertas em 33, incluindo 18 críticas - 10 a mais do que em 2020.
Plataforma vestível Qualcomm Snapdragon com vulnerabilidades
Os especialistas da Kaspersky encontraram vulnerabilidades não apenas no protocolo MQTT, mas também em uma das plataformas mais populares para dispositivos vestíveis: a plataforma vestível Qualcomm Snapdragon. Desde a sua criação, mais de 400 vulnerabilidades foram identificadas, nem todas foram corrigidas - incluindo algumas datadas de 2020.
A maioria dos dispositivos vestíveis registra dados de saúde do usuário, bem como localização e movimentos. Isso permite não apenas roubo de dados, mas também perseguição. dr Peter Zeggel, fundador e diretor administrativo da empresa alemã de telemedicina arztkonsultation ak GmbH, comenta: “A segurança dos dados é um requisito básico para o estabelecimento da telemedicina. Esta é uma responsabilidade compartilhada. Legisladores, provedores e usuários de telemedicina devem todos trabalhar para maior segurança. Todos os envolvidos podem contribuir!”
“A pandemia trouxe um forte crescimento no mercado de telemedicina, e não se trata apenas de se comunicar com o médico por meio de software de vídeo. Afeta toda uma gama de tecnologias e produtos complexos e em rápida evolução, incluindo aplicativos especializados, dispositivos vestíveis, sensores implantáveis e bancos de dados baseados em nuvem”, comenta Maria Namestnikova, chefe da Equipe Russa de Pesquisa e Análise Global (GReAT) da Kaspersky. “No entanto, muitos hospitais ainda usam serviços de terceiros não verificados para armazenar dados de pacientes, e as vulnerabilidades em dispositivos e sensores vestíveis de saúde permanecem abertas. No entanto, antes de usar esses dispositivos, as empresas devem descobrir o máximo possível sobre seu nível de segurança, a fim de proteger seus próprios dados e os dos pacientes.”
Dicas da Kaspersky para profissionais de saúde protegerem os dados dos pacientes
Verifique todos os aplicativos e dispositivos usados no hospital ou instalação médica quanto à segurança. Mantenha os dados transmitidos por aplicativos de telemedicina ao mínimo. Por exemplo, a transmissão de localização deve ser desativada se não for necessária.
Sempre altere todas as senhas padrão e use criptografia se o dispositivo em questão for compatível.
Sobre Kaspersky A Kaspersky é uma empresa internacional de cibersegurança fundada em 1997. A profunda inteligência de ameaças e experiência em segurança da Kaspersky serve como base para soluções e serviços de segurança inovadores para proteger empresas, infraestrutura crítica, governos e consumidores em todo o mundo. O abrangente portfólio de segurança da empresa inclui proteção de endpoint líder e uma variedade de soluções e serviços de segurança especializados para se defender contra ameaças cibernéticas complexas e em evolução. Mais de 400 milhões de usuários e 250.000 clientes corporativos são protegidos pelas tecnologias da Kaspersky. Mais informações sobre Kaspersky em www.kaspersky.com/
[1] https://securelist.com/telehealth-report-2020-2021/105642/
[2] https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2021/11/22125239/Kaspersky_Healthcare-report-2021_eng.pdf