От кардиостимуляторов до умных часов, мы все больше становимся кибернетическими видами. Вот почему недавние заголовки об уязвимостях в имплантированных медицинских устройствах могут вызвать тревогу. Может ли кардиостимулятор вашего дедушки действительно быть взломан, и если да, то каков реальный риск?
Это своевременный вопрос. Да, в сфере медицинских технологий происходят значительные изменения: теперь имплантируемые устройства могут обмениваться данными по беспроводной связи, а грядущий медицинский Интернет вещей (IoT) приносит с собой различные носимые устройства, позволяющие медицинским работникам и пациентам быть более связанными. Но крупный производитель медицинского оборудования попал в заголовки газет не с одной, а с двумя критическими уязвимостями.
Уязвимости выделяют риски взлома
В марте этого года Министерство внутренней безопасности предупредило, что хакеры могут получить беспроводной доступ к имплантированным кардиостимуляторам, созданным Medtronic . Затем, всего через три месяца, Medtronic добровольно отозвал некоторые свои инсулиновые помпы по тем же причинам.
На первый взгляд, это ужасно, но это может быть не так плохо, как кажется. Хакеры не могут получить доступ к имплантированным кардиостимуляторам с удаленного терминала за сотни миль или провести широкомасштабные атаки. Чтобы взломать один из этих кардиостимуляторов, атака должна проводиться в непосредственной физической близости от жертвы (в пределах диапазона Bluetooth) и только тогда, когда устройство подключается к Интернету для отправки и получения данных.
Хотя маловероятно, риск реален. Medtronic разработал протокол связи устройства так, чтобы он не требовал никакой аутентификации и не шифровал данные. Таким образом, любой, кто в достаточной мере мотивирован, может изменить данные в имплантате, потенциально опасно или даже фатально изменив его поведение.
Как и кардиостимуляторы, отозванные инсулиновые помпы имеют беспроводную связь для подключения к соответствующему оборудованию, например, к измерительному устройству, которое определяет, сколько инсулина выкачивается. Это семейство инсулиновых помп также не имеет встроенной системы безопасности, поэтому компания заменяет их более кибер-осведомленной моделью.
Промышленность играет в догонялки
На первый взгляд может показаться, что Medtronic — это плакат для бестолковой и опасной безопасности (компания не ответила на наш запрос о комментариях к этой истории), но она далеко не одна.
«Состояние кибербезопасности в медицинских устройствах в целом неудовлетворительное», — сказал Тед Шортер (Ted Shorter), технический директор компании IoT по безопасности Keyfactor.
Алаап Шах, юрист, специализирующийся на конфиденциальности, кибербезопасности и регулировании в сфере здравоохранения в Epstein Becker Green, объясняет: «Производители не разрабатывали продукты исторически с учетом требований безопасности».
Ведь в прошлом, чтобы вмешаться в работу кардиостимулятора, вам приходилось выполнять операцию. Вся индустрия пытается догнать технологии и понять последствия для безопасности. Быстро развивающаяся экосистема — как упомянутое ранее медицинское IoT — создает новые проблемы безопасности для отрасли, которой никогда раньше не приходилось думать об этом.
«Мы достигли переломного момента в росте проблем с подключением и безопасностью», — сказал главный исследователь McAfee Стив Повольный.
Хотя медицинская индустрия имеет уязвимые места, в дикой природе никогда не было взломанного медицинского устройства.
«Я не знаю каких-либо эксплуатируемых уязвимостей», — сказал Шортер.
Почему нет?
«У преступников просто нет мотивации взломать кардиостимулятор», — объяснил Повольный. «После медицинских серверов наблюдается более высокая окупаемость инвестиций, где они могут хранить записи о пациентах с помощью вымогателей. Вот почему они идут за этим пространством — низкая сложность, высокая норма прибыли ».
В самом деле, зачем инвестировать в сложные, высокотехнологичные фальсификации медицинских устройств, когда ИТ-отделы больниц традиционно так плохо защищены и так хорошо окупаются? Только в 2017 году 16 больниц пострадали от вымогателей . А отключение сервера не несет ответственности за убийство, если вас поймали. Взлом работающего имплантированного медицинского устройства — это совсем другое дело.
Убийства и взлом медицинского оборудования
Несмотря на это, бывший вице-президент Дик Чейни не рискнул в 2012 году. Когда врачи заменили его старый кардиостимулятор новой беспроводной моделью, они отключили беспроводные функции, чтобы предотвратить любые взломы. Вдохновленный сюжетом из телешоу «Родина» , доктор Чейни сказал : «Мне показалось плохой идеей для вице-президента Соединенных Штатов иметь устройство, которое, возможно, кто-то сможет … взломать». в.»
Сага о Чейни наводит на мысль о страшном будущем, в котором люди подвергаются удаленному нападению через медицинские устройства, регулирующие их здоровье. Но Повольный не думает, что мы собираемся жить в научно-фантастическом мире, в котором террористы дистанционно убивают людей, вмешиваясь в импланты.
«Редко мы видим заинтересованность в нападениях на людей», — сказал Повольный, ссылаясь на сложность взлома.
Но это не значит, что это не может произойти. Вероятно, это просто вопрос времени, пока кто-нибудь не станет жертвой реального взлома в стиле Миссия невыполнима. Alpine Security разработал список пяти классов устройств, которые наиболее уязвимы. Первое место в списке занимает почтенный кардиостимулятор, который сделал сокращение без недавнего отзыва Medtronic, а сослался на отзыв в 465 000 имплантированных кардиостимуляторов от производителя Abbott . Компания должна была обновить прошивку этих устройств, чтобы исправить дыры в безопасности, которые могут легко привести к смерти пациента.
Другие устройства, о которых беспокоится Alpine, включают в себя имплантируемые дефибрилляторы кардиовертеров (которые похожи на кардиостимуляторы), инфузионные насосы для лекарств и даже системы МРТ, которые не являются ни передовыми, ни имплантируемыми. Сообщение здесь заключается в том, что медицинская ИТ-индустрия много работает над защитой всех типов устройств, включая большие устаревшие аппаратные средства, которые выставлены в больницах.
Насколько мы безопасны?
К счастью, аналитики и эксперты, похоже, согласны с тем, что уровень кибербезопасности в сообществе производителей медицинского оборудования стабильно улучшается в течение последних нескольких лет. Отчасти это связано с рекомендациями FDA, опубликованными в 2014 году , а также с межведомственными целевыми группами, которые охватывают несколько секторов федерального правительства.
Повольны, например, воодушевлены тем, что FDA работает с производителями, чтобы упростить сроки тестирования обновлений устройств. «Необходимо сбалансировать тестирование устройств настолько, чтобы мы никому не причиняли вреда, но не так много времени, чтобы дать злоумышленникам очень большую взлетно-посадочную полосу для исследования и осуществления атак на известные уязвимости».
По словам Ануры Фернандо, главного архитектора инноваций UL по взаимодействию и безопасности медицинских систем, повышение безопасности медицинских устройств сейчас является приоритетом в правительстве. «FDA готовит новое и улучшенное руководство. Координационный совет сектора здравоохранения недавно выпустил План совместной безопасности. Организации по разработке стандартов разрабатывают стандарты и создают новые, где это необходимо. DHS продолжает расширять свои программы CERT и другие планы защиты критически важной инфраструктуры, а медицинское сообщество расширяется и взаимодействует с другими, чтобы постоянно улучшать положение в области кибербезопасности, чтобы идти в ногу с меняющимся ландшафтом угроз ».
Возможно, это обнадеживает, что задействовано так много сокращений, но впереди еще долгий путь.
«Несмотря на то, что в некоторых больницах очень развито состояние кибербезопасности, многие все еще пытаются понять, как справиться даже с базовыми требованиями к кибербезопасности», — сетует Фернандо.
Итак, что вы, ваш дедушка или пациент с носимым или имплантированным медицинским прибором можете сделать? Ответ немного удручает.
«К сожалению, ответственность лежит на производителях и медицинском сообществе», — сказал Повольный. «Нам нужны более безопасные устройства и правильная реализация протоколов безопасности».
Однако есть одно исключение. Если вы используете устройство потребительского уровня, например умные часы, Povolny рекомендует соблюдать правила гигиены. «Измените пароль по умолчанию, примените обновления безопасности и убедитесь, что он не подключен к Интернету постоянно, если это не требуется».