Хакеры могут взять на себя некоторые имплантированные дефибрилляторы, говорит FDA

01.10.2019

517 2 minutes read

Хакеры могут взять на себя некоторые имплантированные дефибрилляторы, говорит FDA

Крупнейшая в мире компания по производству медицинских устройств признала, что многие из ее имплантированных сердечных дефибрилляторов используют незашифрованный беспроводной протокол, который может позволить злоумышленнику изменить настройки спасательных устройств.

Уязвимость затрагивает более 20 моделей дефибрилляторов, мониторов и блоков программирования, изготовленных Medtronic Inc. из Фридли, штат Миннесота. Устройства включают в себя имплантируемые кардиовертерные дефибрилляторы, или ICD, которые могут исправлять опасно быстрое или нерегулярное сердцебиение, и дефибрилляторы сердечной ресинхронизирующей терапии, или CRT-D, которые, по сути, являются кардиостимуляторами, которые обеспечивают небольшие электрические заряды, чтобы поддерживать синхронизацию сердечных сокращений желудочков сердца.

В бюллетене, выпущенном в конце прошлой недели, Агентство по кибербезопасности и безопасности инфраструктуры, являющееся частью Министерства внутренней безопасности США, присвоило уязвимости 9,3 балла уязвимости — около верхней части своей 10-балльной шкалы.

Medtronic признал в своем заявлении, что недостаток может позволить неуполномоченному лицу получить доступ к настройкам оборудования — и, возможно, изменить их.

Но как Medtronic, так и Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США, или FDA, посоветовали врачам и пациентам продолжать использовать устройства во время разработки решения. Это потому, что терапевтическая ценность дефибрилляторов намного превышает потенциальный риск, сказали они, добавив, что никто, как известно, не использовал этот недостаток.

Система использует собственный беспроводной протокол Conexus, который связывает дефибрилляторы с домашними мониторами и с врачами и программистами устройств в удаленных местах.

Medtronic сказал, что это не та система, которая использовалась в ее кардиостимуляторах и программистах CareLink, для которых компания закрыла обновления Интернета в октябре, потому что они тоже были уязвимы для кибератак.

Министерство внутренней безопасности заявило, что исследователи безопасности в Европе, обнаружившие эту уязвимость, обнаружили, что Conexus передает данные как без шифрования, так и без аутентификации, а это означает, что он не может гарантировать, что незаконные системы заблокированы от получения контроля над дефибрилляторами.

Но агентство согласилось с тем, что вероятность успешной атаки была низкой, не потому, что технически это было бы особенно трудно осуществить, а потому, что устройства используют радиочастотные передачи — подобно некоторым пультам дистанционного управления телевизора — и, следовательно, могут передавать только около 20 футов. Это означает, что любой злоумышленник должен находиться в той же комнате, что и целевое оборудование.

Более того, по словам агентства, устройства должны быть «в тех состояниях, где активны функции RF», то есть злоумышленник должен работать в тот момент, когда система фактически настроена на передачу.

По словам FDA, в то время как Medtronic разрабатывает исправление, пациенты и врачи могут защитить себя, используя только удаленные мониторы, которые они получили непосредственно от самого Medtronic. По словам FDA, пациенты должны постоянно подключать свое оборудование, чтобы оно могло получать обновления.

Компания Medtronic, которая заявила, что выпустит исправление, как только оно будет доступно, и была одобрена регулирующими органами, определила эти системы как уязвимые: