Implantovaná lékařská zařízení od firmy Medtronic mají bezpečnostní chyby, jejichž zneužití může vést ke smrti pacientů

U řady implantovaných lékařských zařízení vyráběných společností Medtronic našli kyberbezpečnostní experti z firem QED Secure Solutions a Whitescope devět bezpečnostních exploitů, které – pokud by je zneužili hackeři – by prý mohly přivodit smrt pacientů. Medtronic ale zatím update firmwaru dotčených přístrojů nechystá.

Zástupci zmíněných kyberbezpečnostních firem se o své poznatky podělili na letošním ročníku konference o kybernetické bezpečnosti Black Hat, která skončila minulý týden ve čtvrtek. Na konferenci také názorně předvedli ukázku – na dálku vypnuli inzulinovou pumpu, čímž zabránili, aby uvolňovala život zachraňující léky, a poté převzali kontrolu nad systémem kardiostimulátoru, což jim umožnilo nakazit malwarem řídící jednotku zařízení. Ještě předtím však vyzvali všechny účastníky s voperovaným lékařským zařízením, aby pro všechny případy opustili místnost.

K ovládnutí kardiostimulátoru se experti firem přesněji nabourali do systému, který lékař používá k jeho naprogramování. Svým pokusným „hackem“ přepsali systém tak, že nahradili jeho pozadí zlověstnou lebkou, nicméně skutečný „hack“ by jej prý mohl modifikovat neviditelně a vysílat do něj škodlivé příkazy. Takto by hackeři mohli do zařízení vyslat např. šok.

Zástupci prý upozornili společnost Medtronic na svá zjištění již zhruba před rokem a půl, nicméně se jim nedostalo žádné odezvy. Před necelým půlrokem jí tedy vysvětlili, jak přesně by mohlo ke zneužití jejích zařízení dojít, a zdůraznili, že pacientům by mohla hrozit i smrt. Opět však bez odpovědi. Před několika měsíci se proto rozhodli, že se svými závěry půjdou ven a podělí se o ně s odbornou veřejností na uvedené konferenci.

Společnost nakonec reagovala, nicméně podle kyberbezpečnostních firem se snažila problém zlehčovat. Ve svých kyberbezpečnostních bulletinech po prozkoumání jejich poznatků pouze konstatovala, že útoky nelze provádět na dálku, a že jediné riziko spočívá v tom, že útočník by mohl ovlivnit data posílaná na updatovací softwarový systém zařízení. Podle ní je se všemi takovými zařízeními spojeno určité bezpečnostní riziko a zmíněných devět bezpečnostních chyb v jejích přístrojích prý pro pacienty představuje „přijatelně nízké riziko“.

Zdroj: theguardian.com, arstechnica.com