Imagine a cena: profissionais da Saúde chegam ao hospital para trabalhar e, ao conectar o computador, nada funciona. Ligam logo para a TI, pensando em resolver o problema rapidamente e começar seus atendimentos, afinal, o paciente não pode esperar. Mas percebem que a rede telefônica também está muda. Estranho… Tendo em mente o quanto os sistemas estão conectados hoje em dia nas organizações de Saúde, dá para ter uma boa ideia do impacto que isso pode gerar em um hospital digital.
A cena acima não é fruto de imaginação mas, sim, de um tipo de ataque cibernético – o ransomware – que afetou 400 instalações médicas do Universal Health Services, Inc. (UHS, na sigla em inglês), cujas unidades estão espalhadas em países como EUA e Reino Unido. Tal ação criminosa ocorreu em setembro de 2020 e ainda hoje é citada como um dos maiores cibercrimes da história norte-americana. Mas como isso aconteceu? Vamos às pistas.
A principal delas é a vulnerabilidade dos sistemas de gestão usados pelas organizações de Saúde, especialmente no que diz respeito ao uso de senha de acesso pelos usuários. Algo semelhante ao que aconteceu em outro caso bastante conhecido, mas agora no Brasil: o ataque aos sistemas do Ministério da Saúde e ao app ConectSUS, em dezembro de 2021. Nele, os criminosos também impediram o acesso dos funcionários a telefones, intranet e e-mails corporativos, além de afetarem os registros de vacinação da população brasileira.
Em busca de uma senha
“O que os hackers fizeram no ataque brasileiro foi quebrar o acesso aos sistemas, provavelmente por meio de login e senha de usuário, para entrar e sequestrar os dados, deixando tudo indisponível”, explica Rodrigo Luchtenberg, diretor de serviços e tecnologia da Flowti. Por isso, alguns países da Europa e do Reino Unido já discutem uma norma que mude a autenticação de sistemas, que hoje é exclusivamente via usuário e senha, em prol da segurança da informação e da garantia de uma TI segura na gestão hospitalar.
O ataque de ransomware, por sinal, tem o costume de entrar nos sistemas através de seu elo mais fraco, como lembra Luchtenberg. “A digitação de credenciais é uma grande fonte de informação para o hacker. Se ele consegue ‘enxergar’ que no sistema A a senha usada foi X, ele pode inferir que nos demais sistemas essa mesma pessoa use uma senha parecida e busca autenticar-se em diferentes softwares para obter os acessos com essas mesmas credenciais. Se obtiver sucesso, a invasão já começou – e é inclusive uma ‘invasão legítima’, pois as credenciais utilizadas são válidas.”
Dos ataques cibernéticos já descobertos por investigações forenses, 89% começaram pelo end-user, ou seja, o usuário da ponta, normalmente enquanto ele digitava sua senha para obter acesso aos sistemas. “Costumeiramente esse tipo de ataque começa com e-mails – o chamado phishing, que é um tipo de engenharia social, no qual um link é enviado de uma fonte aparentemente segura. O usuário clica no link e, sem perceber nada diferente, utiliza seu dispositivo. A partir de então um vírus já se instalou e o hacker passa a monitorar silenciosamente os acessos que aquele colaborador possui, exemplo disso pode ser de o ERP de um hospital digital”, descreve o especialista, que continua: “Imagine se o usuário que, sem intenção, concedeu suas credenciais ao cibercriminosos, possuir autenticações sensíveis, como por exemplo, o banco de dados principal, sistema de pagamentos, fornecedores, prontuários… enfim, já é possível imaginar o tamanho do problema”.
Conheça agora alguns dos cuidados que uma instituição de Saúde precisa ter para evitar ataques do tipo ransomware:
- Passwordless em sistemas críticos: O termo tem sido cada vez mais adotado por programadores de sistema e explica a prática de diminuir a necessidade de uso de senha digitada nos softwares. Em seu lugar, outras tecnologias como biometria e/ou reconhecimento facial, são usadas por serem mais seguras contra ataques de ransomware.
- Reconhecimento digital + físico para o acesso: Apenas o uso de biometria e/ou reconhecimento facial não é suficiente. Para ter ainda mais segurança, é preciso um meio físico que confirme a autenticidade do usuário, como, por exemplo, uma chave criptografada única que fica instalada no computador. Dessa forma, ocorre um double check para a liberação do acesso e, mesmo que um hacker obtenha uma cópia dessa chave, o sistema bloqueia sempre que não for usada a versão original.
- Política zero trust: Nesse tipo de arquitetura de defesa cibernética tudo é checado via sistema, desde o token criptografado até a biometria. E é possível habilitar esse tipo de protocolo de checagem depois de uma fase específica do acesso ao sistema ou ao aplicativo, para que a segurança da informação seja ainda maior em momentos determinados. Esta arquitetura tem como premissa não confiar em nada, seja usuário, sejam sistemas ou dispositivos, por isso é considerado um dos meios mais seguros de autenticação. Incorpora também o princípio da irretratabilidade, mais conhecido como princípio do não repúdio, onde garante a autenticidade de autenticações, ou seja, uma pessoa ou entidade não pode negar a autoria da autenticação, pois existe a garantia que apenas a pessoa pode de fato ter o acesso concedido, o que traz um nível de confiabilidade muito alto.
