Ormai qualche mese fa abbiamo iniziato a seguire l'interessante lavoro di analisi di Greenbone riguardante lo stato di sicurezza dei sistemi di storage delle immagini sanitario diagnostiche.

Per chi volessere recuperare il filo della questione consigliamo:

• 400 milioni di immagini medico / diagnostiche esposte senza protezione sul web: Italia maglia nera in Europa
• Greenbone Network ripete l'esperimento sulle immagini diagnostico-sanitarie... come sarà il risultato

In breve:
Greenbone è una azienda specializzata in sicurezza delle reti e gestione delle vulnerabilità. Nel Settembre 2019 ha pubblicato uno studio sulla sicurezza del sistema PACS, (Picture Archiving and Communication System), uno dei sistemi maggiormente usati per lo storage di immagini diagnostiche in ambito sanitario. Già nel primo stadio dello studio la situazione si mostrava estremamente grave, con oltre 600 server PACS raggiungibili da chiunque con ricerche tramite comuni motori di ricerca come Google. Questi 600 server sparsi nel mondo contenevano oltre 733 milioni di immagini, delle quali 400 milioni circa visualizzabili e persino scaricabili. I dati esposti riguardavano circa 24.3 milioni di persone.

Qualche mese dopo Greenbone effettuò una seconda verifica, trovando addirittura una situazione peggiorata: da 733 milioni di immagini esposte, in pochi mesi si era passati a 1 miliardo e 190 milioni di immagini. Il 60% in più. In conseguenza di questa grave situazione, Greenbone ha avvisato le autorità nazionali dei singoli stati riguardo la problematica, invitando ad una immediata messa in sicurezza di server e dati.

Terzo studio: la situazione nel Gennaio 2020
"L'ammontare totale di dati esposti sta ancora aumentando, anche tenendo in considerazione il numero dei dati messi offline dopo il nostro avviso di sicurezza": parole testuali di Dirk Schrader, il ricercatore a capo dello studio. "Se ospedali e ambulatori non agiranno velocemente, si raggiungerà in brevissimo tempo un nuovo picco massimo di immagini esposte", ha rincarato la dose.

Schrader ha dichiarato che tra le organizzazioni avvisate, le prime e più attive a rispondere sono state quelle più piccole, che si sono dimostrate anche molto attive e celeri nella messia in sicurezza di server e immagini. Questo però non ha determinato un grosso miglioramento, poichè di contro, le 10 più grandi organizzazioni sanitarie allertate da Greenbon non hanno semplicemente risposto all'alert. Di queste, soltanto una ha messo in sicurezza i server: parliamo di Northeast Radiology, organizzazione statunitense che esponeva, da sola, 61 milioni di immagini afferenti a 1.2 milioni di pazienti. La messa in sicurezza dei sever è comunque avvenuta un mese dopo la segnalazione. "Se solo queste 9 organizzazioni togliessero da Internet i sistemi esposti, sparirebbero da Internet almeno 600 milioni di immagini" conferma Schrader.

Qualche altre voce in merito
Greenbone non è, ovviamente, l'unica azienda che sta analizzando lo stato di sicurezza dei sistemi PACS nel mondo. Vi sono esperti come Yisroel Mirsky che da decenni studiano le vulnerabilità di sicurezza degli apparati medicali in generale: Mirsky ha spiegato come lo scorso anno la quasi totalità dei produttori di dispositivi usati in ambito sanitario abbia completamente ignorato i requisiti di sicurezza previsti da DICOM, lo standard internazionale per le immagini medico sanitarie.

A riconferma del problema portiamo anche una testimonianza pubblicata dalla testata Techcrunch: nel mese di Novembre Lucas Lundgren, ricercatore di sicurezza svedese, ha dimostrato alla redazione della testata come fosse possibile, in pochissimi minuti, individuare il database esposto di uno dei più grandi ospedali di Los Angeles, accedendo ai dati di decine di migliaia di persone (fortunatamente il server è stato messo in sicurezza dopo la segnalazione del problema). Ha inoltre spiegato come l'esposizione di tali dati renda molto semplice l'organizzazione di frodi assicurative e il furto d'identità, aggiungendo il fatto che, per alcuni, è persino possibile ricostruire uno storico delle condizioni di salute personali.

Insomma, la situazione non pare destinata a miglioare a breve: anzi, al contrario, ogni giorno le immagini relative a nuovi esami diagnostici finiscono esposti online andando costantemente a peggiorare la situazione.