Η Epic, η εταιρεία πίσω από το ευρέως χρησιμοποιούμενο MyChart, πάγωσε το μεγαλύτερο μέρος της ανάπτυξης προϊόντων της για περίπου έξι εβδομάδες, ώστε να διορθώσει κενά ασφαλείας που εντόπισε το μοντέλο κυβερνοασφάλειας Mythos της Anthropic. Το περιστατικό δείχνει πόσο γρήγορα αλλάζει η ισορροπία ανάμεσα στην αναζήτηση ευπαθειών και στην άμυνα — ειδικά όταν στο επίκεντρο βρίσκονται ιατρικά δεδομένα.
Τι εντόπισε το Mythos
Η Epic δεν έχει αποκαλύψει τη φύση των ευπαθειών. Σύμφωνα όμως με τις πληροφορίες που μετέδωσε το TechCrunch, ορισμένες διαμορφώσεις του MyChart θα μπορούσαν να επιτρέψουν σε τρίτους να αποκτήσουν πρόσβαση σε αρχεία ασθενών χωρίς η εισβολή να καταγραφεί στα logs του λογισμικού.
Αυτό δεν σημαίνει ότι επιβεβαιώθηκε μαζική παραβίαση ή ότι όλα τα συστήματα των πελατών ήταν εκτεθειμένα. Σημαίνει ότι ένας άγνωστος συνδυασμός ρυθμίσεων και κώδικα κρίθηκε αρκετά επικίνδυνος ώστε να ανασταλεί προσωρινά η κανονική προτεραιοποίηση νέων λειτουργιών.
Η επικεφαλής και ιδρύτρια της Epic, Judy Faulkner, δήλωσε ότι η παύση αναμένεται να διαρκέσει περίπου έξι εβδομάδες. Το βάρος μεταφέρεται έτσι από το roadmap προϊόντων στη σκλήρυνση των συστημάτων και στην επιβεβαίωση ότι οι διορθώσεις δεν αφήνουν νέα κενά.
Γιατί το MyChart έχει τόσο μεγάλο ρίσκο
Το MyChart χρησιμοποιείται από νοσοκομεία και ιατρεία στις ΗΠΑ για τη διαχείριση περισσότερων από 320 εκατομμυρίων αρχείων ασθενών. Η Epic υποστηρίζει ότι δεν έχει πρόσβαση στα δεδομένα των πελατών της· την ευθύνη έχουν οι πάροχοι υγείας που λειτουργούν τα αντίστοιχα συστήματα.
Αυτό όμως δεν μειώνει τη σοβαρότητα μιας ευπάθειας στην κοινή πλατφόρμα. Ένα πρόβλημα που επηρεάζει πολλές εγκαταστάσεις θα μπορούσε να δώσει σε έναν επιτιθέμενο τη δυνατότητα να στοχεύσει διαδοχικά διαφορετικούς οργανισμούς, ενώ η απουσία αξιόπιστης καταγραφής θα δυσκόλευε την έγκαιρη ανίχνευση και την έρευνα του περιστατικού.
Τα ιατρικά δεδομένα είναι ιδιαίτερα ελκυστικός στόχος για ransomware και εκβιασμό. Το TechCrunch υπενθυμίζει ότι η επίθεση του 2024 στη Change Healthcare οδήγησε σε κλοπή δεδομένων υγείας περισσότερων από 192 εκατομμυρίων ανθρώπων, ενώ η εταιρεία πλήρωσε τους δράστες για να μην τα δημοσιεύσουν.
Το νέο δίλημμα των AI εργαλείων ασφαλείας
Η περίπτωση της Epic αναδεικνύει ένα παράδοξο: τα ίδια εργαλεία που βοηθούν μια εταιρεία να βρει γρήγορα ευπάθειες μπορούν να κάνουν τους επιτιθέμενους αποτελεσματικότερους στην αναζήτηση και εκμετάλλευσή τους. Η ταχύτητα εντοπισμού δεν αρκεί, αν οι ομάδες ανάπτυξης δεν μπορούν να διορθώσουν, να ελέγξουν και να παρακολουθήσουν τις αλλαγές με αντίστοιχο ρυθμό.
Γι’ αυτό η παύση ανάπτυξης έχει αξία ως σήμα διακυβέρνησης, όχι ως απόδειξη ότι η ασφάλεια λύθηκε. Το κρίσιμο τεστ θα είναι αν η Epic μπορεί να τεκμηριώσει ποιες διαμορφώσεις επηρεάζονται, να προσφέρει σαφείς οδηγίες στους παρόχους υγείας και να επιβεβαιώσει ότι οι διορθώσεις καταγράφουν πλέον κάθε ύποπτη πρόσβαση.
Η υπόθεση δείχνει επίσης ότι η ασφάλεια δεν είναι ένα στάδιο πριν από την κυκλοφορία ενός προϊόντος. Σε υποδομές που χειρίζονται τόσο ευαίσθητα δεδομένα, μπορεί να χρειαστεί να γίνει η ίδια η προτεραιότητα του προϊόντος — ακόμη κι αν αυτό σημαίνει ότι νέα χαρακτηριστικά θα περιμένουν.
Πηγή: TechCrunch