¡Hola a todos! Como sabemos, las tecnologías de la información y la comunicación forman ya una parte esencial de todos los sectores, ayudando enormemente al desempeño de cualquier tipo de actividad. No obstante, su omnipresencia también tiene una parte negativa: utilizar estas tecnologías implica estar, en mayor o menor riesgo, expuesto a sufrir ciberincidentes.

Uno de los sectores con un mayor riesgo, dado el impacto e implicaciones que tendría que su seguridad se viese comprometida, especialmente dada la situación actual, es el de la salud. Por ello, he querido investigar cuáles son los principales agujeros de seguridad que hoy en día presenta la medicina, un análisis que os iré presentando a lo largo de diferentes artículos que se publicarán en Security Garage, empezando por este.

¿Cuáles son las principales ventajas de utilizar las TIC en el mundo sanitario?

• Permiten a los profesionales acceder a datos clínicos relevantes de sus pacientes, así como documentar y comparar sus trabajos con los de sus colegas.
• Garantizan los estándares basados en la evidencia científica.
• Facilitan a los pacientes la realización online de gestiones relacionadas con su salud y la comprobación y validación de sus datos clínicos con garantía de calidad.
• A partir de la implementación del HCI (Historial Clínico Informatizado), se ha podido mejorar el acceso a todo este tipo de información, en tiempo real, con una actualización permanente.

Ahora bien, hay tres aspectos que es preciso tener en cuenta y que, de no ser protegidos, suponen importantes puertas de acceso para los ciberdelincuentes:

• La confidencialidad. ¿Están bien tratados los datos personales y clínicos de los pacientes?, ¿es posible que haya alguna fuga de esa información, para intereses propios o comerciales?
• La seguridad. ¿Puede el acceso a los registros informáticos ser vulnerado por usuarios malintencionados o ser estos utilizados por alguien autorizado para beneficio propio? Y, dado que los historiales clínicos están disponibles a través de una Intranet, ¿pueden ser accesibles y fácilmente copiados, transmitidos e inspeccionados?
• La integridad. Es de vital importancia que las copias de seguridad y el almacenaje de datos preserven la integridad de la información y la protejan frente a incidencias o accidentes.

¿Cuáles podrían ser las consecuencias de la sustracción de datos médicos?

Los registros médicos digitales cuentan con un valor en el mercado negro 50 veces superior al de los datos de tarjetas de crédito. Además, los ciberataques a este sector son mucho más difíciles de detectar que, por ejemplo, un robo bancario. Esto hizo que durante 2014 supusieran el 42,5 % de los ataques que se llevaron a cabo con éxito. Uno de los principales objetivos buscados con estas acciones es suplantar la identidad de individuos, algo que, a su vez, también persigue diversos fines.

Por otro lado, los ciberdelincuentes dirigieron sus programas maliciosos de tipo ransomware a las industrias con mayores probabilidades de pagar rescates, siendo las relacionadas con la salud las que ocupan el primer puesto.

¿Qué ocurriría si te llegaran a robar tu receta electrónica?

Hay mafias que se dedican al tráfico ilegal de medicamentos, especialmente de ansiolíticos y benzodiazepinas, fármacos que consiguen ser un producto estrella del mercado negro y cuyo precio se dispara varios cientos de veces. Algunos datos que podemos destacar a este respecto son:

• En España se venden estos medicamentos por un precio de entre 1,5 y 2,5 €. En Marruecos cuestan entre 200 y 300 €.
• El gigantesco negocio que estas cifras suponen se acerca a los 100 millones de euros al año.
• Cada año son robadas más de 25.000 recetas a la red sanitaria pública, las cuales acaban en su mayoría en manos de bandas.

Ahora vamos a ver cómo los ciberdelincuentes pueden introducir un tumor trucando escáneres de algún paciente sano, para lo cual deberán encontrar alguna vulnerabilidad.

Aquí juega un papel esencial el PACS, un Sistema de Comunicación y Archivado de Imágenes cuya función primordial es la transmisión de imágenes radiológicas y facilitar la comunicación entre hospitales y clínicas.

Un sistema PACS ideal debe atender todo el flujo de imagen, desde la adquisición del examen, hasta el diagnóstico, proceso de informe y monitoreo.

En esta imagen se observa el vector de ataque desde que se realiza la toma de la imagen hasta que es recogida por el paciente. Como se puede observar, el ataque es una de las etapas intermedias:

¿Cómo puede tener éxito un atacante?

El primer paso es construir un dispositivo para generar un Man-In-The-Middle, por ejemplo, una Rapsberry Pi 3.

El segundo paso es acceder a las instalaciones médicas, como podría ser por la noche, aprovechando un descuido del personal y, mediante ingeniería social o cualquier método que se pueda realizar, instalar el dispositivo cerca del escáner.

Una vez conseguido, el atacante puede ir a una sala de espera donde tiene acceso inalámbrico remoto e interceptar las tomografías computarizadas para manipularlas.

Cuando se realiza un escáner a un paciente, estas imágenes se envían al servidor de PAC comentado anteriormente, retransmisión que es interceptada por el atacante.

Lo que entonces se encuentra el atacante es que el escaneo no está encriptado, sino que aparece en texto plano:

¿Cómo modifica, pues, las imágenes?

Una vez interceptadas las imágenes se utiliza el denominado CT-GAN, consistente en un framework para inyectar o eliminar automáticamente una evidencia médica de las exploraciones en 3D, como las producidas por TAC y RMN. Son una serie de scripts en Python que permite realizar el “entrenamiento” para la inyección o extracción de imágenes.

Se utilizan dos GANGs, denominados cGAN, que consisten en redes neuronales. Uno de ellos es el generador, mientras que el otro es el discriminador, para la creación de imágenes lo más reales posibles.

1. El generador crea muestras falsas con el objetivo de engañar a los usuarios. Por lo que se “entrena” sólo con muestras sanas.
2. El discriminador “aprende” a diferenciar entre muestras reales y falsas. Para la inyección, un cGAN es “entrenado” en muestras poco saludables para que el generador complete las imágenes en consecuencia.

Como se ha podido deducir de estas líneas, lo que se utiliza para ello es Deep Learning.

En este punto el atacante tiene el control total sobre las tomografías computarizadas y podrá insertar o eliminar tumores a su antojo.

Imagen donde se muestra la inserción de un tumor pulmonar:

Imagen 3D donde se han introducido 472 nódulos cancerígenos:

Asimismo, también se pueden borrar de la imagen:

Y ahora que sabemos el cómo, nos surge la pregunta clave: ¿Para qué?, ¿qué motivos podría tener un atacante para hacer esto? Pues, por ejemplo, se podría llevar a cabo para evitar que un candidato político fuera elegido, sabotear una investigación, cometer un fraude de seguros, realizar una declaración fraudulenta, solicitar una tarjeta de crédito, cometer un acto de terrorismo o, simplemente, obtener beneficio económico.

En el próximo artículo os hablaré del caso concreto de los marcapasos, bombas de insulina y otros dispositivos. ¡Hasta entonces!

Sandra Arias Vargas

• Sandra Arias Vargas