Theo một báo cáo hồi tháng 10/2017 của Văn phòng Kiểm toán Quốc gia Anh (National Audit Office - NAO), 81 trung tâm dịch vụ của NHS, 603 cơ sở chăm sóc sức khoẻ ban đầu và 595 phòng khám đa khoa ở Anh và xứ Wales đã bị nhiễm WannaCry. Mã độc đã khoá cứng máy tính chạy Windows, nhưng ảnh hưởng tới nhiều thiết bị khác như: các thiết bị chuẩn đoán hình ảnh (máy chụp cộng hưởng từ (MRI), máy chụp cắt lớp (CT)), các máy trạm DICOM bị gián đoạn, gây ảnh hưởng nghiêm trọng cho các bệnh viện ngay cả khi các hệ thống khác đã được phục hồi.

Ngành y tế đang sử dụng ngày càng nhiều các thiết bị chẩn đoán bằng hình ảnh và các thiết bị để có thể chẩn đoán các loại bệnh, các thiết bị này tỏ ra không an toàn và khó bảo vệ. Nhiều thiết bị của NHS được điều khiển từ ứng dụng chạy trên các máy tính Windows XP hay Windows 7 chứa rất nhiều lỗ hổng. NAO ghi nhận rằng: "Thiết bị thường được quản lý bởi các nhà cung cấp không có khả năng tự cập nhật".

NHS Digital, đơn vị chịu trách nhiệm bảo mật của NHS xác nhận với NAO rằng, hỗ trợ của nhà sản xuất thường không tốt, khiến các đơn vị chăm sóc sức khoẻ chỉ có cách là tách các máy quét khỏi mạng nội bộ - điều này khiến cho việc truy cập dữ liệu trở nên rất khó khăn.

May Wang, người đồng sáng lập và là Giám đốc kỹ thuật (CTO) của công ty an ninh IoT ZingBox (Mỹ) cho rằng, cuộc tấn công thử nghiệm vào ngành y tế là Conficker năm 2008 chứ không phải WannaCry của năm 2017. Một sự thật đáng kinh ngạc là sau gần một thập kỷ lây nhiễm vào các bệnh viện trên khắp thế giới, trong đó có 800 PC tại một bệnh viện đào tạo ở Sheffield, loại mã độc nhắm vào lỗ hổng của một phiên bản lạc hậu của Windows vẫn còn nằm trong danh sách cần xử lý của ngành y tế.

Xem xét vấn đề an ninh của các thiết bị tại 50 bệnh viện ở Mỹ, ZingBox phát hiện thấy các thiết bị chẩn đoán hình ảnh chiếm một nửa trong số các vấn đề an ninh có mức rủi ro cao. Nguyên nhân là do phần lớn các hệ thống đó được điều khiển từ các máy trạm chạy những hệ điều hành Windows XP, hay thậm chí Windows 98. Điều này cũng cho thấy, các thiết bị chụp chiếu đều đã có tuổi đời khá cao. Vì chúng dùng phiên bản đầy đủ, có khả năng chạy trình duyệt, tải ứng dụng và làm rất nhiều việc khác – những việc không nên làm trên một máy tính điều khiển thiết bị X quang – nên nguy cơ là rất lớn.

Ở Mỹ, các bệnh viện thường tìm cách cô lập một phần các thiết bị chẩn đoán hình ảnh trong các VLAN – một cách làm ngày càng mất tác dụng vì đang có thêm rất nhiều thiết bị được cắm thêm vào cùng phân đoạn mạng. ZingBox thấy rằng chỉ có 1/4 các thiết bị trong các VLAN đó là thiết bị y tế, phần còn lại là PC, máy in và các thiết bị di động có thể bị nhiễm mã độc (và tất nhiên hậu quả là lây sang các thiết bị y tế). Số thiết bị kết nối ngày càng tăng khiến bộ phận công nghệ thông tin của các cơ sở y tế không thể quản lý nổi. Hầu hết các bệnh viện không kiểm tra theo dõi các thiết bị đó, nên việc bảo vệ chúng chỉ có thể tồn tại trên lý thuyết.

Cũng nhận thấy vấn đề với các thiết bị y tế, các nhà nghiên cứu ở trường Đại học Ben-Gurion (Israel) đã kiểm tra để xác minh liệu các thiết bị chẩn đoán hình ảnh có thể bị mã độc tấn công trực tiếp hay không. Kết quả ban đầu được công bố trong báo cáo hồi tháng 2/2018, cho thấy các máy chụp CT là nguồn rủi ro lớn nhất. Những thiết bị đó được điều khiển bằng cách thiết lập trong một tệp cấu hình với các tham số được điều chỉnh từ một ứng dụng trên máy trạm. Tệp cấu hình này chứa một danh sách các chỉ thị ra lệnh cho máy chụp CT cách thực hiện quá trình chụp, bao gồm cách di chuyển các mô tơ, quãng thời gian và mức độ phát xạ.… Bằng cách chỉnh sửa các tệp đó, kẻ xấu có thể gây ra những hậu quả nguy hiểm như chiếu xạ quá mức, gây thương tích hoặc làm lẫn lộn kết quả chiếu chụp của người bệnh.

Rủi ro không chỉ liên quan tới các thiết bị chẩn đoán bằng hình ảnh, một nghiên cứu mới đây của ZingBox đã chỉ ra một loạt các lỗ hổng an ninh trong thiết kế của một thiết bị bơm truyền dịch có khả năng lập trình. Thông tin đăng nhập gắn cứng có thể thay đổi tuỳ ý, mã hoá yếu kém, khả năng gửi một thông điệp tống tiền giải thích rằng thiết bị đã bị khoá.

Từ trước tới nay, khi nói tới an ninh cho ngành y tế, hầu hết mọi người chỉ nói tới khả năng thất thoát dữ liệu. Nhưng nay chúng ta phải nghĩ về sự sống và cái chết, về khả năng gián đoạn các cuộc phẫu thuật và sự an toàn của người bệnh.