La ricerca “Leaking Beeps: Unencrypted Pager Messages in the Healthcare Industry” di Trend Micro mette in guardia dalle vulnerabilità che riguardano i cercapersone in ambiente ospedaliero. Gli smartphone ormai sono diffusi ovunque e hanno reso obsoleti i cercapersone, che però sono sopravvissuti per praticità in alcuni settori, come quello sanitario, dove rimangono molto utilizzati negli ospedali. Si pensava che questa tecnologia fosse sicura ma purtroppo non è così. I messaggi all’interno dei cercapersone che non sono criptati possono essere letti da diversi chilometri di distanza, attraverso una software-defined radio (SDR) e un dongle. Il problema dei cercapersone è che contengono informazioni sensibili. I laboratori di ricerca Trend Micro hanno analizzato i diversi tipi di dati che possono essere trafugati e in alcuni casi sono state intercettate informazioni sui pazienti come il nome, la diagnosi, i trattamenti, i risultati delle analisi. Le pratiche mediche, così come i prodotti e i farmaci utilizzati negli ospedali, possono essere facilmente raccolti. Questi dati possono essere utili per posizionare un prodotto sul mercato, ad esempio.
Conoscendo la diagnosi e il tipo di trattamento di un singolo paziente si può vedere se sono stati svolti i corretti esami e se questi erano necessari oppure sono stati forzatamente effettuati dei test in più, magari costosi, quando la diagnosi era già chiara. Gli utilizzi criminali di questi dati possono essere molteplici, dalla semplice rivendita a raggiri assicurativi o alla creazione di pagine online con false ricerche. Un altro dettaglio importante, i laboratori Trend Micro hanno effettuato questa ricerca con strumenti acquistati facilmente su Amazon, per meno di 30 dollari.
Per mitigare i problemi di sicurezza e proteggere la privacy dei dati, Trend Microraccomanda di: • Crittografare le comunicazioni – Anche un semplice PSK può aiutare, ma più sofisticati sono i metodi più sicura sarà la comunicazione; • Autenticare le fonti – Per evitare che falsi messaggi vengano accettati dal sistema dovrebbe essere implementato un livello di autenticazione nel firmware. Se il dubbio persiste è sempre meglio verificare di persona attraverso una telefonata o una chiacchierata; • Non trasmettere fattori multipli – Sarebbe meglio inviare dati che non possono essere identificati senza ulteriore documentazione in possesso del ricevente. Ad esempio il numero identificativo o la data di nascita dovrebbero essere sufficienti a riconoscere il paziente se combinate con ulteriore documentazione offline;
