Ensayos realizados por equipos de expertos han demostrado que se pueden infectar los equipos médicos de los hospitales con virus informáticos o malware capaz de alterar completamente las pruebas médicas en diagnósticos de cáncer.
Unos investigadores de una universidad de Israel han desarrollado malware capaz de introducir cambios en las pruebas médicas relacionadas con la detección del cáncer. Como podemos leer en este artículo del Washington Post (inglés), el programa malicioso es capaz de afectar a los equipos que realizan las exploraciones radiológicas con imágenes, como el TAC (tomografía axial computerizada) y la RM (resonancias magnéticas).
Han demostrado que se puede infectar el sistema informático a través de Internet con programas capaces de alterar las propias imágenes, de forma que las pruebas de cáncer positivas las modificaron a negativas y viceversa. Lo peor de la noticia es que prácticamente la totalidad de las conclusiones médicas, tras diagnosticar estas imágenes, no detectaron nada extraño y por tanto el diagnóstico fue “el equivocado”.
Los equipos de los hospitales y sus redes son vulnerables
La investigación la han realizado para poner en evidencia la falta de seguridad informática que presentan tanto los propios dispositivos médicos conectados como las redes de comunicación utilizadas en estos entornos.
Es una llamada de atención a las industrias farmacéuticas fabricantes de estos aparatos y a los propios hospitales para que inviertan esfuerzo en aumentar la seguridad de sus sistemas. De no hacerlo, las consecuencias de un ataque informático mal intencionado en sus redes pueden ser desastrosas.
Los ataques los llevaron a cabo en varios hospitales del país y se centraron únicamente en alterar los resultados de las exploraciones destinadas a detectar cáncer de pulmón. Lo que consiguieron fue modificar digitalmente los archivos de esas imágenes, añadiendo tumores donde no los había y eliminando el rastro de esos tumores donde realmente sí aparecían.
Podemos imaginar el grado de gravedad que tendría un ataque de este tipo si se realizase de forma masiva. Los atacantes también podrían utilizar la vulnerabilidad para atacar objetivos muy concretos, como a personajes relevantes de la política mundial y retirarlos así de la circulación, algo que, visto lo visto, no nos debe extrañar en absoluto.
Los fallos de seguridad que encontraron en los sistemas de los hospitales fueron varios:
- Aparatos que todavía no cuentan con la necesaria tecnología para crear las imágenes de forma cifrada.
- Dispositivos que sí cuentan con tecnología segura pero es incompatible con la del resto.
- Las propias redes de comunicación no son seguras y permiten a los atacantes interceptar la información.
- Los ordenadores o servidores donde se guardan esas imágenes permiten el ataque y modificación de la imagen sin que quede constancia de ello.
En general, la conclusión es que los centros hospitalarios están centrados en que la información no llegue a personas sin autorización externa o de otras compañías, dando por hecho que permanece segura si no sale de su propia red interna. Pero los atacantes lograron entrar en esas redes, donde la información se guarda sin cifrar y sin firmar digitalmente, lo que permite posteriores alteraciones sin que puedan detectarse.
El sistema que desarrollaron para el ataque era capaz de ajustar las modificaciones en las imágenes de forma automática. Una vez introducido el malware en la red del hospital, podía alterar de forma autónoma las imágenes, añadiendo nódulos cancerosos donde no los había y eliminando los que realmente estaban allí.
Según los autores, además, esta técnica podrían haberla utilizado en cualquier otro tipo de exploración médica por imágenes, como fracturas óseas, tumores cerebrales, lesiones cardíacas, etc.
El engaño a los médicos fue prácticamente total
Cuando médicos especialistas examinaron las imágenes alteradas con falsos nódulos cancerosos, en el 99 % de los casos diagnosticaron el cáncer al paciente. En el caso de pacientes en los que realmente tenían cáncer pero el sistema lo ocultó, el 94 % de los diagnósticos dieron al paciente como sano.
Esperemos que este incidente de seguridad quede solo en una prueba controlada y que nadie nunca llegue a provocar este tipo de alteraciones de forma maliciosa en los hospitales. Pero, por supuesto, será necesario que todos los centros médicos inviertan tiempo y dinero en mejorar la seguridad de sus instalaciones, así como en formar a sus empleados en ciberseguridad. Sin duda es una prioridad que debe pasar a primer plano desde ya.
