Крупнейшая в мире компания по производству медицинских устройств признала, что многие из ее имплантированных сердечных дефибрилляторов используют незашифрованный беспроводной протокол, который может позволить злоумышленнику изменить настройки спасательных устройств.
Уязвимость затрагивает более 20 моделей дефибрилляторов, мониторов и блоков программирования, изготовленных Medtronic Inc. из Фридли, штат Миннесота. Устройства включают в себя имплантируемые кардиовертерные дефибрилляторы, или ICD, которые могут исправлять опасно быстрое или нерегулярное сердцебиение, и дефибрилляторы сердечной ресинхронизирующей терапии, или CRT-D, которые, по сути, являются кардиостимуляторами, которые обеспечивают небольшие электрические заряды, чтобы поддерживать синхронизацию сердечных сокращений желудочков сердца.
В бюллетене, выпущенном в конце прошлой недели, Агентство по кибербезопасности и безопасности инфраструктуры, являющееся частью Министерства внутренней безопасности США, присвоило уязвимости 9,3 балла уязвимости – около верхней части своей 10-балльной шкалы.
Medtronic признал в своем заявлении, что недостаток может позволить неуполномоченному лицу получить доступ к настройкам оборудования – и, возможно, изменить их.
Но как Medtronic, так и Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США, или FDA, посоветовали врачам и пациентам продолжать использовать устройства во время разработки решения. Это потому, что терапевтическая ценность дефибрилляторов намного превышает потенциальный риск, сказали они, добавив, что никто, как известно, не использовал этот недостаток.
Система использует собственный беспроводной протокол Conexus, который связывает дефибрилляторы с домашними мониторами и с врачами и программистами устройств в удаленных местах.
Medtronic сказал, что это не та система, которая использовалась в ее кардиостимуляторах и программистах CareLink, для которых компания закрыла обновления Интернета в октябре, потому что они тоже были уязвимы для кибератак.
Министерство внутренней безопасности заявило, что исследователи безопасности в Европе, обнаружившие эту уязвимость, обнаружили, что Conexus передает данные как без шифрования, так и без аутентификации, а это означает, что он не может гарантировать, что незаконные системы заблокированы от получения контроля над дефибрилляторами.
Но агентство согласилось с тем, что вероятность успешной атаки была низкой, не потому, что технически это было бы особенно трудно осуществить, а потому, что устройства используют радиочастотные передачи – подобно некоторым пультам дистанционного управления телевизора – и, следовательно, могут передавать только около 20 футов. Это означает, что любой злоумышленник должен находиться в той же комнате, что и целевое оборудование.
Более того, по словам агентства, устройства должны быть «в тех состояниях, где активны функции RF», то есть злоумышленник должен работать в тот момент, когда система фактически настроена на передачу.
По словам FDA, в то время как Medtronic разрабатывает исправление, пациенты и врачи могут защитить себя, используя только удаленные мониторы, которые они получили непосредственно от самого Medtronic. По словам FDA, пациенты должны постоянно подключать свое оборудование, чтобы оно могло получать обновления.
Компания Medtronic, которая заявила, что выпустит исправление, как только оно будет доступно, и была одобрена регулирующими органами, определила эти системы как уязвимые:
- Amplia MRI CRT-D, все модели
- Claria MRI CRT-D, все модели
- Compia MRI CRT-D, все модели
- Concerto CRT-D, все модели
- Concerto II CRT-D, все модели
- Consulta CRT-D, все модели
- МРТ Evera, все модели
- Evera ICD, все модели
- Maximo II CRT-D и ICD, все модели
- МРТ Мирро, все модели
- Nayamed ND ICD, все модели
- МРТ Primo, все модели
- Protecta CRT-D и ICD, все модели
- Secura ICD, все модели
- Virtuoso ICD, все модели
- Virtuoso II ICD, все модели
- Visia AF MRI ICD, все модели
- Visia AF ICD, все модели
- Viva CRT-D, все модели
- CareLink 2090 Programmer
- Монитор MyCareLink, модели 24950 и 24952
- Монитор CareLink, модель 2490C
