Virus hospitalarios: nodos cancerosos falsos en tomografías computarizadas, creados por malware, engañaron a radiólogos

Cuando Hillary Clinton tropezó y tosió a través de apariciones públicas durante su carrera presidencial de 2016, se enfrentó a críticos que dijeron que podría no estar lo suficientemente bien como para desempeñar el mejor trabajo en el país. Para sofocar los rumores sobre su condición médica, su médico reveló que una tomografía computarizada de los pulmones mostraba que solo tenía neumonía.

¿Pero qué pasaría si la exploración hubiera mostrado nódulos cancerosos falsos, colocados allí por un malware que explota vulnerabilidades en los equipos de exploración por CT y MRI ampliamente utilizados? Investigadores en Israel dicen que han desarrollado este tipo de malware para llamar la atención sobre serias deficiencias de seguridad en los equipos de imágenes médicas críticas que se utilizan para diagnosticar las condiciones y las redes que transmiten esas imágenes —vulnerabilidades que podrían tener consecuencias que podrían alterar la vida si no se resuelven.

El malware que crearon permitiría a los atacantes agregar automáticamente crecimientos malignos de apariencia realista a las tomografías computarizadas o resonancias magnéticas antes de que los radiólogos y los médicos las examinen. O podría eliminar nódulos cancerosos reales y lesiones sin detección, lo que podría llevar a un diagnóstico incorrecto y posiblemente a una falla en el tratamiento de pacientes que necesitan atención crítica y oportuna.

Yisroel Mirsky, Yuval Elovici y otros dos en el Centro de Investigación de Seguridad Cibernética de la Universidad Ben-Gurion en Israel que crearon el malware dicen que los atacantes podrían arremeter contra un candidato presidencial u otros políticos para engañarlos y hacerles creer que tienen una enfermedad grave y hacer que se retiren de una competencia para buscar tratamiento.

La investigación no es teórica. En un estudio a ciegas, los investigadores realizaron tomografías computarizadas con TC real, 70 de las cuales fueron alteradas por su malware, y pudieron engañar a tres radiólogos expertos para que diagnosticaran mal las condiciones  casi todas las veces. En el caso de las exploraciones con nódulos cancerosos fabricados, los radiólogos diagnosticaron el cáncer el 99 por ciento de las veces. En los casos en que el malware eliminó nódulos cancerosos reales de las exploraciones, los radiólogos dijeron que esos pacientes estaban sanos el 94 por ciento de las veces.

Incluso después de que se les informara a los radiólogos que las exploraciones habían sido alteradas por el malware y que se les había administrado un segundo conjunto de 20 exploraciones, la mitad de las cuales se modificaron, aún así se les hizo creer que las exploraciones con nódulos falsos eran reales el 60 por ciento de las veces, lo que lleva a  los diagnósticos erróneos que involucran a esos pacientes. En el caso de las exploraciones en las que el malware eliminó nódulos cancerosos, los médicos no lo detectaron 87 por ciento de las veces, concluyendo que los pacientes muy enfermos estaban sanos.

Los investigadores realizaron su prueba contra una herramienta de software de detección de cáncer de pulmón que los radiólogos a menudo utilizan para confirmar sus diagnósticos y pudieron engañarla para que realizaran diagnósticos erróneos de los escáneres con tumores falsos.

"Me sorprendió bastante", dijo Nancy Boniel, radióloga de Canadá que participó en el estudio. "Sentí que sacaron la alfombra debajo mío y me dejaron sin las herramientas necesarias para seguir adelante".

El estudio se centró únicamente en las exploraciones de cáncer de pulmón. Pero funcionaría para tumores cerebrales, enfermedades cardíacas, coágulos sanguíneos, lesiones de la columna vertebral, fracturas óseas, lesiones de ligamentos y artritis, dijo Mirsky.

Los atacantes podrían elegir modificar exploraciones aleatorias para crear caos y desconfianza en el equipo del hospital, o podrían dirigirse a pacientes específicos, buscando exploraciones etiquetadas con el nombre o número de identificación de un paciente específico. Al hacer esto, podrían evitar que los pacientes que tienen una enfermedad reciban atención crítica o hacer que otras personas que no están enfermas reciban biopsias, pruebas y tratamientos injustificados. Los atacantes podrían incluso alterar las exploraciones de seguimiento después de que el tratamiento comience a mostrar falsamente que los tumores se diseminan o encogen. O podrían alterar las exploraciones de pacientes en ensayos de investigación médica y de medicamentos para sabotear los resultados.

Las vulnerabilidades que permitirían a alguien alterar las exploraciones residen en el equipo y las redes que utilizan los hospitales para transmitir y almacenar imágenes de TC y RMN. Estas imágenes se envían a estaciones de trabajo de radiología y bases de datos back-end a través de lo que se conoce como un sistema de comunicación y archivo de imágenes (PACS). Mirsky dijo que el ataque funciona porque los hospitales no firman digitalmente los escaneos para evitar que se alteren sin ser detectados y no utilizan el cifrado en sus redes PACS, lo que permite que un intruso en la red vea los escaneos y los modifique.

"Son muy, muy cuidadosos con la privacidad… si se comparten datos con otros hospitales u otros médicos", dijo Mirsky, "porque existen reglas muy estrictas sobre la privacidad y los registros médicos. Pero lo que sucede dentro del sistema [del hospital] en sí, al que ninguna persona normal debería tener acceso en general, tiende a ser bastante indulgente. No es… que no les importe. Es solo que sus prioridades se establecen en otros lugares ".

Aunque una red hospitalaria que examinaron en Israel intentó utilizar el cifrado en su red PACS, el hospital configuró el cifrado incorrectamente y, como resultado, las imágenes aún no estaban protegidas.

Fotios Chantzis, un ingeniero principal de seguridad de la información de la Clínica Mayo en Minnesota que no participó en el estudio, pero confirmó que el ataque es posible, dijo que las redes PACS generalmente no están encriptadas. Esto se debe en parte a que muchos hospitales aún operan bajo el supuesto de que lo que está en su red interna es inaccesible desde el exterior, a pesar de que "la época en que la red de hospitales locales era un jardín seguro y amurallado hace mucho que desapareció", dijo.

Aunque ahora el cifrado está disponible para algunos programas de PACS, en general todavía no se usa por razones de compatibilidad. Debe comunicarse con sistemas más antiguos que no tienen la capacidad de descifrar o volver a cifrar las imágenes.

Para desarrollar su malware, los investigadores israelíes utilizaron el aprendizaje automático para entrenar su código para evaluar rápidamente los escaneos que pasan a través de una red PACS para ajustar y escalar tumores fabricados para adecuarse a la anatomía y dimensiones únicas del paciente para hacerlos más realistas. El ataque completo puede ser completamente automatizado, de modo que una vez que el malware se instala en la red PACS de un hospital, operará independientemente de los investigadores para encontrar y alterar las exploraciones, incluso buscando el nombre de un paciente específico.

Para llevar el malware a una red PACS, los atacantes necesitarían acceso físico a la red (para conectar un dispositivo malicioso directamente a los cables de la red) o podrían plantar malware de forma remota desde Internet. Los investigadores descubrieron que muchas redes PACS están conectadas directamente a Internet o son accesibles a través de las máquinas del hospital que están conectadas a Internet.

Para ver qué fácil sería instalar físicamente el malware en una red PACS, Mirsky realizó una prueba en un hospital en Israel del que los investigadores grabaron en video. Pudo ingresar al departamento de radiología después de horas y conectar su dispositivo malicioso a la red en solo 30 segundos, sin que nadie cuestionara su presencia. Aunque el hospital había dado permiso para la prueba, los miembros del personal no sabían cómo o cuando Mirsky planeaba realizarla.

Para evitar que alguien altere las tomografías computarizadas y las imágenes por resonancia magnética, dice Mirsky, lo ideal sería que los hospitales habilitaran el cifrado de extremo a extremo en su red PACS y firmaran digitalmente todas las imágenes mientras se aseguran de que la radiología y las estaciones de trabajo de los médicos estén configuradas para verificar esas firmas y marcar cualquier imagen que no esté debidamente firmada.

Suzanne Schwartz, una doctora en medicina y directora asociada de Ciencia y Asociaciones Estratégicas de la Administración de Alimentos y Medicamentos, que ha estado liderando algunos de los esfuerzos de la FDA para asegurar dispositivos y equipos médicos, expresó preocupación por los hallazgos de los investigadores israelíes. Pero dijo que muchos hospitales no tienen dinero para invertir en equipos más seguros o que tienen una infraestructura de 20 años que no admite tecnologías más nuevas.

"Va a requerir cambios que vayan más allá de los dispositivos, pero cambios con respecto a la infraestructura de la red", dijo Schwartz. "Aquí es donde es realmente importante involucrarse e involucrarse con otras autoridades y tratar de unir a toda la comunidad".

Christian Dameff, un médico de la sala de emergencias de la Escuela de Medicina de la Universidad de California en San Diego y un investigador de seguridad que ha expuesto vulnerabilidades con el sistema de llamadas de emergencia 911, señala que en el caso de un diagnóstico de cáncer, algunos respaldos evitarían que un paciente recibiera tratamiento injustificado basado solo en una tomografía computarizada modificada maliciosamente. Pero eso no significa que el ataque sea inofensivo.

"Hay un par de pasos antes de que simplemente llevemos a alguien a la cirugía o pre-escribamos radiación y quimioterapia", dijo Dameff. "Pero aún así, el paciente sigue sufriendo daño. Existe la angustia emocional [al saber que puede tener cáncer], y hay todo tipo de implicaciones de seguros".

Los radiólogos del estudio BGU recomendaron un tratamiento de seguimiento y derivaciones a un especialista para todos los pacientes con exploraciones que mostraron nódulos pulmonares cancerosos. Recomendaron biopsias tisulares inmediatas u otra cirugía para al menos un tercio de ellas.

Corrección: esta historia se ha actualizado para reflejar que el hospital en Israel no cifró ningún dato pasado a través de su red. Una versión anterior de la historia decía que había cifrado los metadatos de las exploraciones, que contienen el nombre del paciente y su identificación médica.