新冠肺炎和远程医疗时代重新出现的威胁

[shukla7789]

影响全球的黑客行为
作者：Carl J. Byron ， CCS、CHA、CIFHA、CPC、ICDT-CM、OHCC、ATC (Ret)






由于远程员工人数增加，HIPAA 隐私和安全官 希腊电报数据 员难以保护数据，因此对不知情的组织来说，重大的潜在黑客攻击可能迫在眉睫。医疗保健 IT 部门保护我们的计算机，并培训我们遵守可访问内容的规则，以努力执行 HIPAA 安全规定。然而，您是否无意中对公司数据的安全构成了风险？



本文适用于所有拥有远程劳动力或通过移动设备远程访问患者数据的提供商的受保实体和业务合作伙伴，以及由于 COVID-19 而新拥有远程劳动力的小型组织。



随着医疗技术的进步，黑客的技能也在不断提高！人们正在努力寻找在疫情期间保持健康的方法。哪种黑客攻击可能会发生，而我们的 HIPAA 安全官却不会注意到？佩戴活动追踪器（也称为 FitBit、智能手表和其他支持无线功能的可穿戴技术设备）。据《今日美国》报道，在冠状病毒危机开始时，智能手表的销量飙升，苹果的销量是其竞争对手的 3 倍多（https://www.usatoday.com/story/tech/202 ... 086904001/）。





觉得我看了太多犯罪剧吗？



不幸的是，黑客的进化速度与技术的发展速度同步，即使是最无害和最个人的技术也可能被黑客入侵，而且已经遭到黑客攻击。这包括广受欢迎的 Fitbit。与个人手机一样，大多数员工认为这些设备是无害的，即使插入工作电脑也不会造成伤害。在本文中，我将介绍广受欢迎的个人健康监测设备面临的威胁。但请注意，这适用于任何可穿戴技术设备。

Fitbit 继续展示个人设备如何遭到黑客攻击，专有医疗信息如何被窃取，恶意软件如何被远程下载。即使这些信息似乎并未揭露真相，也比犯罪剧更令人担忧。



在 2018 年 11 月 14 日的一篇文章中，Jennifer Falsetti 写了 FitBit 的用途，在本例中是执法部门的用途！当时，2018 年俄克拉荷马州发生了一起慢跑者 Mollie Tibbetts 失踪的案件。Tibbets 出去慢跑，从此再也没有回来。执法部门拼命寻找她，在 Mollie 经常跑步的路边不远处找到了她。调查人员寻找 Mollie 的方式是她当时佩戴的 Fitbit 追踪器。尽管多年来手机一直被用作定位设备，但 Fitbit 增加了一个元素，迅速引起了全国的关注。在接受 Falsetti 采访时，米德韦斯特市警察局局长 Brandon Clabes 这样说道。 “这些东西在过去几年中不断发展，我们在调查中经常使用它们。无论是刑事案件还是失踪人口案件，Fitbit 都内置有跟踪设备，这对佩戴者来说确实是一个安全因素，因为它可以告诉我们你确切的位置、时间和地点，并为我们提供判断信息，尤其是在像 Mollie Tibbets 案这样的失踪人口案件中，我们需要找到你。它还帮助我们调查犯罪，因为人们会告诉我们一件事，但我们可以通过 GPS 和他们的 Fitbit 来验证，”Clabes 说。



那么这如何适用于 HIPAA 安全？让我来解释一下。Fitbit 的跟踪能力为医疗黑客解答了许多重要且有价值的问题，这些黑客使用的技术帮助找到了 Mollie Tibbetts：“他们什么时候去看医生？他们在哪里看医生？他们什么时候在家？他们什么时候不在家？他们使用哪家药店？他们在做什么？他们不在家时还和谁在一起？



因此，黑客可以通过您的个人健康设备追踪信息，但黑客也可以将恶意软件注入该设备，当插入任何计算机时，恶意软件就会被下载。



可穿戴设备直接与你的手机通信。这是不安全的，如果你在设备或多个类似设备的覆盖范围内，并且你知道自己在做什么，你就可以开始调查，看看外面都有谁。虽然这种信息抓取的范围只有 10-30 英尺左右，但想想你有多少次处于这些参数范围内有多个人的区域。即使在 COVID-19 重新开放的最初阶段，一天中也可能有很多人。你知道多少？那些埋头看手机的人真的像他们看起来那么无辜吗？



几年前，一个真实的例子清楚地展示了恶意数据传输的能力。Computerworld 杂志的常驻撰稿人 Darlene Storm 在 2015 年 10 月 26 日的专栏《安全很性感》中写了一篇令人震惊的研究文章，该文章引起了安全社区的担忧，并遭到了 Fitbit 的强烈反击。该事件发生在 2015 年：

在卢森堡举行的 Hack.Lu 2015 安全会议上，Fortinet 研究员 Axelle Apvrille 展示了 Fitbit Flex 健身追踪器中的概念验证漏洞；近距离攻击者仅需 10 秒钟就可以通过蓝牙连接将恶意代码无线注入 Fitbit Flex 腕带。
外来代码可以持续存在，然后感染 PC 或 Fitbit Flex 所连接的其他设备。10秒。真正引起安全意识强的观众注意的部分是 Apvrille 演示如何通过蓝牙感染 Flex。诚然，虽然感染 Fitbit 的外来代码的最大字节只有 17 个，但她指出，1997 年能够使奔腾崩溃的木马（“FOOF 漏洞”）只有 4 个字节，而 Mini DOS 病毒只有 13 个字节。
那么，如果蓝牙是被感染的部分，会怎么样呢？Fitbit 是远程设备，尽管通过蓝牙连接到手机，但威胁不是被控制住了吗？不会。Apvrille 研究结果最可怕的延伸之一是，通过蓝牙感染后，当 Fitbit 插入计算机时，计算机也会被感染。此时，没有人会相信他们的信息值得黑客攻击。在极少数情况下，这可能是真的，但请考虑一下：如果您患有疾病，并且您根据 Fitbit 向医生报告数据，会怎么样？为了保持最新状态，您必须定期将其插入计算机。也许您的信息不值得窃取或出售；但美国总统呢？截至本文发表时，巴拉克·奥巴马总统佩戴 Fitbit Surge 已有 8 个月（据悉他经常使用私人电话）。Aprville 的赞助商 Fortinet 解释了将问题从研究转变为主动攻击的三个步骤；其中两个步骤已得到确凿证明：

“从‘概念验证’到实际问题，有三个步骤：

将恶意代码上传到近距离内的任何 Fitbit 腕带。
自动将代码从 Fitbit 腕带传输到与其连接的任何计算机（通过 Fitbit 加密狗）。
让所连接的计算机执行代码。