Siber saldırı riski 19 Temmuz 2024 tarihindeki internet kaosu ile bir kez daha gündeme geldi. Peki sağlık alanı siber saldırılara ne kadar açık?
Adli Bilimciler Derneği Başkanı Prof.Dr.İ.Hamit HANCI , Bilim ve Sağlık Haber Ajansı için, sağlık merkezlerinin siber saldırılara maruz kalma ve etkinlenme riskini değerlendirdi.
İnsülin Pompasına Uzaktan Bağlanıp İnsülin Miktarını Değiştirdi!
“Ünlü bilgisayar korsanı(Hacker) Barnaby Jack Ekim 2011’ de düzenlenen McAfee FOCUS 11 konferansında insülin pompası aletlerine uzaktan saldırarak insülin miktarını değiştirmeyi başarmıştır. Şubat 2012 yılında ise San Francisco da RSA Güvenlik Konferansında transparan bir manken kullanarak doksan metre uzaklıktan yüksek kazançlı anten yardımıyla insülin pompasını kontrol etmiştir. Bu durumda şeker hastası olan bir kişi rahatlıkla suikast kurbanı olabilir. Bir diğer saldırıya uğrayabilecek medikal cihaz ise uzaktan kontrollü kalp pilleridir (pacemaker). Barnaby Jack 2012 yılında kalp pili üzerinden nasıl suikast yapılacağını göstererk anlatmıştır. Bu durum ayrıca Homeland dizisinde de konu edinmiştir.
Kalp Pili Takılı Hastalara Elektro Şok Dalgaları Gönderilebilir
Bir kalp pili takılı insanlara uzaktan elektro şok dalgaları gönderilebilir. İnsülin pompaları taratılarak cihazlara bağlanılabilir ve bu cihazlar insülin miktarını ayarlayarak hastalar üzerine hypoglycemic veya ketoacidosis. o oluşturabilir (kan şkeri düşüklüğü yada yüksekliği). Bilgisayarlı ilaç infüzyon pompa sistemlerine uzaktan erişilebilir ve verilen ilaç dozlarında değişim yapılabilir. ABD’de doktorun uyguladığı ilaçların takibi için kullanılan sistemdeki teknik hataları tespit eden Charles Cullen isimli hemşire sistemdeki açığı kullanarak 2006 yılında yakalanana kadar 16 yılda en az 40 hastayı ölümüne neden olduğunu kabul etmiştir.
Sağlıktaki Siber Saldırıları Önlemek İçin Milli Yazılımlar Oluşturulmalı
Bu nedenle ilk olarak Cihazlardaki güvenlik boşlukları ortadan kaldırılmalı ve milli yazılımlar oluşturulmalıdır. Yeni yazılımlar ve sistemler tüm sektörlerde olduğu gibi sağlık alanında da çok yaygın ve sık olarak kullanılmaktadır. En başta ulusal sağlık programları ve sistemleri başta gelmek üzere, hastane kayıt ve bilgi sistemleri, hasta reçeteleri, tedavi protokolleri, tetkik istemleri ve sonuçları bilgisayar yazılımları ve sistemleri üzerinden yapılmaktadır. Ayrıca tüm tedavi ve tetkik cihazları da bilgisayar yazılımları ve sistemleri aracılıyla kullanılır hale gelmiştir. Bilgisayar sistemlerinin sağladığı yararların yanı sıra bu bilgisayar sistemleri ve yazılımlarının alt yapısındaki boşluklardan yararlanılarak hackerlar (bilgisayar korsanları) tarafından bu bilgilere ulaşılabilir.
Sağlık Sektöründeki Bilgiler Tehdit Altında
Hackerlar; bilgisayar sistemleri konusundaki bilgisini gizli bilgilere ulaşmak, ağlar aracılığıyla yasal olmayan zarar verici saldırılar yapmak yani siber saldırılar için kullanan kimselerdir. Sağlık merkezlerine yapılan siber saldırılar veri kaybına yol açmak, parasal hırsızlık yapmak, tıbbi cihazlara saldırı yapmak ve altyapıya saldırı yapmak olarak dört farklı grupta incelenebilmektedir. Sağlık sektöründeki veriler en az finans, enerji ve askeri veriler kadar tehlike altındadır. Yapılan son araştırmalara göre sağlık merkezlerinin %94 kadarı bu siber saldırıların kurbanı durumundadır. Sağlık hizmet sunucularının hasta veri güvenliğini sağlama konusunda alt yapılarında çok sayıda engel söz konusudur. Bir taraftan bilişim sektörünün çok hızlı gelişmesi ve yapılan sistemlerin güvenlik konusunda yeterli olamaması ciddi zorluklara yol açmaktadır. Institute for Critical Infrastructure Tecnology (Kritik Altyapı Teknoloji Enstitüsü)’nin hazırladığı rapora göre sağlık sektörü ABD’de en fazla siber saldırı tehdidinde olan ama en az hazırlıklı olan alandır.
ABD’de Medikal Cihaz Yazılımları Risk Altında
ABD’de yapılan biranket çalışmasına göre sağlık alanındaki üst düzey yetkililerin siber güvenlik konusundaki enbüyük korkuları sistemlere yada tıbbi cihazlara yetki dışı erişen kötü niyetli kişilerden dolayıAdli Bilimler Dergisi 17 (1): 32 – 39; 2018 33 hasta bilgilerinin kaybedilmesi yada değiştirilmesidir. Siber güvenlik uzmanları hacklenme ihtimali daha yüksek olan; bilgisayar chipi, yazılımı, kablosuz ağ teknolojisi ve internetbağlantısı olan tıbbi cihazlar ve hastane ekipmanı üzerinde yaptıkları çalışmalar sonucunda hayati tehlike oluşturabilecek hatalar tespit etmişlerdir. Medikal cihaz yazılımları, bağlı olduğu sistemlerinde güvenlik açıkları oluşturarak hasta güvenliğini riske atacak saldırılara zemin hazırlayabilirler.
Hacker Kalp Pili Hastasını Fidye İle Tehdit Edebilir
İnternete bağlı cihazların yaygınlaşmasıyla siber saldırıların hedefinde özellikle medikal cihazların olacaktır. Örnek olarak, ameliyatsız gerçekleştirilen ve kablosuz iletişim sistemiyle ulaşım sağlanabilen kalp pilinin bağlantısına müdahale edebilen bir hacker fidye almak için ölümle tehdit edebilir. Sağlık sektöründe çalışanların bugüne kadarmedikal cihazlara yönelik saldırılarla çok sık karşılaşmadıkları için, siber saldırılar konusununüzerinde çok durmadıkları görülmektedir.
Bilgisayarlı İnfüzyon Pompa Sistemleri
Bilgisayarlı infüzyon pompa sistemlerine hackerlar tarafında kablolu veya kablosuz ağ kullanılarak uzaktan erişilebileceğini ve verilen ilaç dozlarında değişim yapılabileceğini belirtmiştir. ABD’de doktorun uyguladığı ilaçların takibi için kullanılan sistemdeki teknik hataları tespit eden bir hemşire sistemdeki açığı kullanarak 2006 yılında yakalanana kadar 16 yılda en az 40 hastayı ölümüne neden olduğunu kabul etmiştir. Fakat uzmanlar cinayet sayısının 400 civarında olduğunu tahmin etmektedir.
DDoS Atağı
Gerçek hayatta, savaş esnasında askerleri hastanelere saldırı yapılmamaktadır. Ama hackerlar tarafından bu tarz saldırılar yapılabilmektedir. Bir hastanenin başına gelebilecek olası siber saldırıları bir araya getirerek; özellikle medikal sistemlere ve cihazlara yönelik yapılan saldırılara dikkat çekmişlerdir. Kayıtların çalınması (Çin): Hastanelerdeki çoğu bilgisayar ya da medikal cihazlar çok sayıda güvenlik açığı bulunan eski sistemlerle çalışmaktadır. Hastaneler bu cihazları internet ağına bağlamaktan kaçınmaktadırlar. Kimliği belirsiz kişiler tarafından gerçekleştirilen DDoS atakları: 2014 yılında Boston Çocuk Hastanesi, devlet gözetimi altına alınan bir genç kızla ilgili tartışmalı bir davayla uğraşmaktaydı. Doktorların iddiasına göre genç kızın hastalığı büyük ölçüde psikolojikti ve ailesi gereksiz tedavilerin uygulanmasında ısrarcıydı. Bir hacker grubu genç kızın haklarının ihlal edildiği gerekçesiyle hastaneyi DDoS atağıyla cezalandırmaya karar verdi. DDoS saldırısı birçok kaynaktan hedefin erişilebilirliğine yapılan saldırılardır. Saldırılarda, sistemin kaldırabileceği yükten fazla anlık istek, anlık kullanıcı sayısı ile sistem cevap veremez hale getirilir. DDoS’un en tehlikeli yanı saldırıyı gerçekleştirmek için üst düzey teknik bilgiye gereksinim olmamasıdır. Öyle ki internetten indirilen basit programlar aracılığıyla bir sisteme yönelik saldırı yapılabilir ve sadece IP adresi veya bölüm adı girilerek hedef sistemin erişim dışı olması sağlanabilmektedir.
Ama hacker grubunun saldırısı istenilenden daha büyük ölçüdeydi çünkü hastanenin IP adresini bilmiyorlardı ve ellerinde IP adresi olmadığı için saldırıyı gerçekleştirmek için bölgenin tüm internet ağına saldırmışlardır. Harvard üniversitesi dahil bölgedeki tüm hastaneler erişime kapalı hale gelmiştir.
Sahte Doktor Taklidi
Sahte siteler neredeyse aslından ayırt edilemeyecek derecede mükemmel şekilde taklit edilmektedir. Mass General Hastanesi”nin sahte personel portalı gerçeğiyle neredeyse aynı yapılmıştır. Doktorlar bu sayfadan ekstra ödeme ile ilgili bilgilendirici bir mail aldıklarında çoğu linki memnun bir şekilde takip etmiştir. Linke tıkladıktan sonra hepsi kimlik bilgilerinde bir yanlışlık olduğunu fark etmeden sisteme giriş yapmışlardır. Hackerlar bu bilgilerle gerçek sistemdeki doktorların mevduat bilgilerini değiştirmişlerdir. Yasa dışı olarak elde ettikleri paraları ise internet alışverişi yapılan bir siteden hediye kartı almak için kullanmışlardır. Hastane yetkilileri artık sadece şifreyle girilen online ödeme istemini kullanmadığını, daha fazla önlem alma yoluna gittiklerini belirtmektedirler.
Angry Birds Tuzağı
Bir hemşire sadece biraz eğlenmek için Angry Birds oyununu Android telefonuna indirmiştir. Ne yazık ki uygulamayı, uygulamayla birlikte kötü amaçlı yazılım da indiren bir siteden indirmiştir. Daha sonra, hemşire telefonuyla iş mailine giriş yaptığında, ekran kopyalama programı hemşirenin giriş bilgilerini kaydetmeye başlamış ve sonuç olarak hemşirenin hesabı Harvard.edu tarafından 1 milyon spam mesajı yollamak için kullanıldı. Bu da Verizon’un Harvard’ı ‘spammer’ olarak bloklamasına yol açtmıştır.
Ya tamamını öde yoksa ..?
Hastaneler üzerindeki fidye saldırıları büyüyen bir tehdit olarak görülmektedir. Bu tip saldırılarda hackerlar bilgisayar ağını gasp etmekte, şifrelemekte ya da bilgisayarın bilgilere erişimini engellemektedirler. Daha sonra erişimini engellediği bilgileri iade etmek için fidye talep etmektedirler. Bu saldırganlar özellikle belirli kişileri ve önemli kuruluşları hedef almaktadır. Hedef hastaneler olduğunda, bilgi erişiminin kapalı olduğu zaman zarfı içindeki hizmet verememenin getirdiği tepkilerin boyutu oldukça büyük olmaktadır. Birçok hastane bu tarz saldırılara uğramış ve ödeme yapmak zorunda kalmıştır.
Sağlık Bakanlığı’na Siber Saldırı
Medikal implante cihazlar (pacemaker, implante kardiak defibrilatör (ICD), ilaç alım sistemleri, nörostimülatör vb.) güvenlik açısından önemlidirler. Bu cihazlara wireless (kablosuz ağ) ile ulaşım sağlanabildiği çalışmalarda gösterilmiştir. Bu cihazlara yönelik saldırılar sonucu kişilerin hayati tehlikesi oluşabilmektedir (13). TC Sağlık Bakanlığı’nın 18 Mayıs 2016’da yapıldığı iddia edilen siber saldırı ile ilgili yazılı olarak yaptığı resmi açıklamaya göre; Sağlık Bakanlığına bağlı hastanelere yönelik siber saldırı girişimiyle ilgili açıklama yapılmasına gerek görülmüştür. Bakanlığa bağlı Diyarbakır, Siirt, Tekirdağ ve Kocaeli illerinde bulunan bazı hastanelere yönelik bir siber saldırı girişimi olmuştur. Siber saldırıdan sadece Diyarbakır ilindeki hastaneler kısmen etkilenmiş olduğu tespit edilmiştir. Bilgi sistem altyapısındaki yedekleme mekanizmasıyla veri kayıplarının önüne geçilmiştir. Saldırı sonrası hastanelerin bilgi sistemlerindeki aksamalar kısa sürede giderilmiştir. Sağlık hizmetlerinde mağduriyet yaşanmasını önüne geçilmeye çalışılmıştır. Veri güvenliğini tehdit eden bu saldırı girişimiyle ilgili inceleme başlatılmıştır. Bakanlığa bağlı sağlık kuruluşlarının bilgi sistemleri güvenlik altyapılarıyla korunmaktadır. Bu amaçla “Sağlık Bilişim Özel Ağı” oluşturulmuştur. Bu ağ ile birlikte sağlık tesislerinin internet erişimi güvenli olarak gerçekleştirilmesi hedeflenmektedir.
