Como Responder a um Ataque de Ransomware na Radiologia.

Reading Time: 8 minutes read

Lições aprendidas.

Por Dr. Niall Sheehy, St James’sHospital – Trinity College Dublin.

Imagine que seu departamento de radiologia não tenha acesso ao PACS, ao RIS ou mesmo ao e-mail. Como você faria para elaborar e encaminhar os relatórios? E para arquivar as imagens? Nosso departamento de radiologia vivenciou esta situação angustiante após um ciberataque. A seguir, saiba como respondemos a esse ataque de ransomware na radiologia e aprenda com nossa experiência, caso isso aconteça com você.

Em maio de 2021, o St James’s Hospital, localizado em Dublin, foi um dos 54 hospitais públicos afetados pelo ciberataque perpetrado pelo Conti – um grupo criminoso mercenário com conhecimentos sofisticados –, que vitimou o Health Service Executive (HSE). Ocorrido durante a pandemia de covid-19 (1), foi o maior ataque de que se tem notícia na história contra o sistema computacional de um serviço de saúde.

Nosso departamento de radiologia foi um dos sortudos, já que ficamos sem acesso ao PACS por “apenas” seis dias. Outros centros de saúde irlandeses foram impossibilitados de utilizar o PACS por cerca de cinco semanas. Além disso, após o ataque, passaram-se quase quatro meses até que a maioria dos sistemas e aplicativos que compõem o HSE fosse totalmente restaurada.

Do phishing à criptografia

O ataque começou com uma tentativa de phishing. Phishing é um crime cibernético por meio do qual golpistas tentam induzir alguém a fornecer informações pessoais ou comprometer seu sistema fazendo-se passar por uma fonte confiável. Em nosso caso, alguém com acesso ao sistema hospitalar público irlandês (HSE) abriu um anexo do Excel enviado por e-mail, implantando um tipo de malware.  Antes de ser detectado, o malware se espalhou para uma série de outros sistemas dentro da rede em diversos hospitais. Em 14 de maio de 2021, o grupo Conti ativou o malware. Os colaboradores do HSE foram saudados com esta mensagem sinistra piscando nos computadores: “Todos os seus arquivos foram criptografados pelo ransomware CONTI. ATENÇÃO: não tente nos ignorar. Baixamos seus dados e estamos prontos para publicá-los em sites de notícias, caso você não nos responda”.

Em poucos instantes, 80% do ambiente de TI do HSE estava criptografado. A resposta imediata do setor de TI foi desativar todas as conexões da rede, limitando a propagação do malware. Tivemos uma perda quase total da comunicação com os departamentos externos. Até nossa internet caiu. Embora o PACS nacional não tenha sido infectado, ele foi desconectado da rede, acarretando sua desativação. Todas as nossas modalidades foram desconectadas de seus respectivos arquivos. Não podíamos elaborar relatórios sobre os exames e os médicos não podiam visualizar as imagens nem os relatórios. Houve uma interrupção drástica do atendimento e um impacto negativo sobre os pacientes e os cuidados que estavam sendo prestados. Em termos de escala, a queda na atividade da radiologia foi semelhante à do primeiro lockdown em consequência da covid.

Nossa resposta ao ataque de ransomware na radiologia

Geração de relatórios da radiologia

Tudo o que tínhamos eram modalidades funcionais. Não havia PACS/RIS. Não havia rede. Não havia acesso ao e-mail ou a arquivos compartilhados. Começamos visualizando as imagens diretamente a partir das modalidades, um processo demorado e entediante. Alguns centros fora de nosso hospital conseguiram configurar redes temporárias com um mini PACS. Mesmo após a restauração de nossas redes locais, nossas soluções internas de geração de relatórios permaneceram off-line por meses.

Encaminhamento de solicitações e de relatórios

Ainda bem que tínhamos nossos telefones pessoais. Eles foram utilizados para elaborar e enviar relatórios de maneira segura. Felizmente, utilizando os smartphones, pudemos acessar nosso sistema de ditado baseado na nuvem (T-Pro), que não havia sido comprometido. Em alguns casos, elaboramos relatórios à mão com o auxílio de papel carbono para criar cópias. Os centros que ainda continham impressoras de filme dependiam delas para imprimir e enviar as radiografias para outros locais e para nosso departamento de emergência.

Vale ressaltar que todos os sistemas de comunicação do HSE, principalmente o e-mail, estavam fora do ar. Isso não só dificultou muito a comunicação com a equipe, como também inviabilizou a utilização do sistema de e-mail como uma alternativa para o encaminhamento dos relatórios.

Arquivamento temporário

Como você pode imaginar, tratava-se de um grande problema, pois nossas modalidades haviam sido desconectadas do PACS. É claro que nosso volume de exames havia reduzido consideravelmente em decorrência dos impactos do ciberataque em todo o hospital. No entanto, o armazenamento nos scanners foi preenchido com rapidez. Em nosso centro, utilizamos armazenamento extra em uma estação de trabalho de IR. Consequentemente, permanecemos cinco dias sem acesso ao nosso PACS. No entanto, outros centros preencheram seus armazenamentos locais com rapidez e foram obrigados a improvisar outras soluções.

Reconciliação após a restauração do sistema

O trabalho estava longe de terminar quando nossos RIS/PACS foram restaurados. Ainda enfrentamos o desafio de vincular os relatórios que havíamos criado por meio de nossos sistemas temporários ao RIS/PACS restaurado. Cada digitalização deveria corresponder a uma solicitação e cada solicitação a um relatório. No total, alguns centros demoraram meses para concluir esse processo.

Além disso, o efeito da resposta do setor TI do HSE ao ataque, embora necessário, foi tão impactante quanto o ataque em si. Um novo software de endpoint foi instalado em todas as estações de trabalho e servidores de um dia para o outro sem a realização de nenhum teste. Isso resultou em uma série de problemas e impediu o acesso de todos os departamentos de radiologia, inclusive o nosso, ao PACS por diversas semanas até que as exceções apropriadas pudessem ser implementadas.

Assim como na crise acarretada pela covid, a resposta das equipes do departamento e de nosso suporte de TI (tanto interno quanto externo) foi excelente graças ao trabalho de todos os colaboradores que se empenharam muito para restabelecer o acesso on-line.

No geral, estima-se que os custos associados ao ataque de ransomware ultrapassem 100 milhões de euros para o HSE, sem contabilizar custos jurídicos elevados que ainda estão pendentes. Além disso, 113 mil pacientes e colaboradores tiveram suas informações pessoais roubadas.

Como proteger o futuro

Não há dúvida que o HSE e nossos sistemas são muito mais seguros hoje. Confira a seguir as principais melhorias implementadas pelo HSE que valem a pena considerar para sua instituição:

• Investimos em uma atualização expressiva para o PACS nacional, fornecendo ao sistema uma arquitetura muito mais segura baseada em uma nuvem privada. Essa melhoria deve torná-lo mais resiliente e restabelecer o acesso on-line com mais rapidez. No futuro, poderemos migrar para uma solução de nuvem completa.
• Instalamos um software de endpoint e outros aprimoramentos de segurança nas redes locais e nacionais, e a solução tem funcionado a contento, já que os bugs iniciais foram solucionados.
• Instituímos um departamento de segurança cibernética e estabelecemos políticas nacionais relacionadas.
• Configuramos soluções de backup de arquivamento em nossos scanners para que possamos alternar facilmente caso o PACS esteja indisponível.
• Agora, muitos hospitais dispõem de um estoque de equipamentos de TI/rede que podem ser implantados em uma emergência para reconstruir sistemas básicos. Eles instalaram servidores “ocultos” com políticas/infraestrutura de TI que podem ser utilizados para reconstruir rapidamente uma rede rudimentar caso o sistema principal seja desativado.
• Estamos migrando para e-mail e outros sistemas de comunicação que não sejam baseados no local a fim de mantermos o contato com a equipe durante um ataque.

Internacionalmente, alguns centros estão migrando seus PACS para um sistema de nuvem. O sistema de nuvem conta com inúmeras vantagens. Primeiro, ele normalmente possui mais camadas de segurança com uma equipe mais exclusiva. Também há diversos backups na nuvem para facilitar a restauração do sistema. Por fim, os dados dos clientes geralmente são criptografados, dificultando o acesso dos hackers.

Além de considerar as medidas que adotamos em resposta ao ataque, sugiro que os departamentos de radiologia abordem outras vulnerabilidades em potencial, como equipes de TI com poucos recursos, múltiplos aplicativos e versões de software, bem como falta de confiabilidade no backup dos sistemas. E, para encerrar, se você estiver vivenciando esta situação complicada, meu conselho é: improvise, adapte-se e supere.

Espero que as medidas que adotamos em resposta ao ataque de ransomware na radiologia sejam válidas para você. Agradeço sua leitura!

Sobre o autor

Dr. Niall Sheehy, médico, MRCP, membro da Faculdade de Radiologistas e Rádio-Oncologistas do Royal College of Surgeons na Irlanda (RCSI), é radiologista e professor clínico associado do St James’s Hospital – Trinity College Dublin. Ele trabalha como radiologista desde 2008. É ex-reitor da Faculdade de Radiologistas do RCSI. Participou como radiologista-responsável na aquisição do Irish National PACS, no período de 2008 a 2012. Além disso, ele supervisionou a transição do PACS quando atuava como diretor clínico do maior hospital da Irlanda, entre os anos de 2013 e 2019. Dr. Sheehy compartilhou essas informações em uma sessão no European Congress of Radiology (ECR), realizado em 2023. Ele fez uma apresentação sobre este tema no ECR, realizado em 2023.

Saiba mais

Como responder a um ciberataque na radiologia, segundo o diretor de prática cibernética nacional da Gallagher.

Referência

• 1 https://www.hse.ie/eng/services/publications/conti-cyber-attack-on-the-hse-full-report.pdf