Rozruszniki serca podatne na ataki hakerów

Hakerzy włamujący się do ludzkich serc to scenariusz jak z powieści science fiction. Żyjemy jednak w czasach, gdy tego typu informacje nie są już fake newsami

Rozruszniki to maleńkie defibrylatory zapobiegające potencjalnie śmiertelnym atakom serca przez stymulowanie jego pracy mikrowstrząsami elektrycznymi. Medtronic – jeden z ich producentów – przeżywa obecnie największy marketingowy kryzys w historii działalności, ale prawdziwym dramatem jest sytuacja pacjentów, których serca wyposażono w ten niewielki kardiostymulator. Według danych „Star Tribune” jest ich blisko 750 tys.

Poważna luka w zabezpieczeniach

W minionym tygodniu Departament Bezpieczeństwa Krajowego USA poinformował, że rozruszniki Medtronic są podatne na hakerskie włamania, a ich zabezpieczenia mają poważne wady. Amerykańskie władze traktują sprawę bardzo poważnie. Eksperci (m.in. z firmy Clever Security) uzyskali dowody świadczące o tym, że przejęcie ustawień rozruszników przez niepowołane osoby może doprowadzić do śmierci pacjentów.

Robert Kowal, wiceprezes ds. medycznych Medtronic, w rozmowie ze „Star Tribune” powiedział, że luka w zabezpieczeniach „byłaby bardzo trudna do wykorzystania w celu wyrządzenia krzywdy”. Nie wykluczał jednak, że jest to możliwe.

Z rozrusznikiem można połączyć się za pomocą fal radiowych (dobrym porównaniem będzie technologia Bluetooth łącząca dwa telefony). Szczególnie kontrowersyjne wydaje się to, że urządzenie nie tylko nie szyfruje sygnału, lecz także nie prowadzi żadnego procesu uwierzytelniania, tak więc dostęp do serc osób chorych ma każdy, kto znajdzie się w ich pobliżu i kto dysponuje odpowiednim oprogramowaniem. Mogą to zrobić także cyberprzestępcy, choćby po to, by przechwycić wrażliwe dane na temat zdrowia pacjenta.

Internet huczy od teorii spiskowych

System rozruszników Medtronic oparty jest na funkcji zdalnego sterowania. Do każdego implantu dołączony jest programator CareLink, przeznaczony dla lekarzy, umożliwiający modyfikację ustawień rozrusznika. Z kolei pacjenci otrzymali monitory MyCareLink, na których wyświetlane są informacje na temat pracy serca. 

Implanty rozrusznikowe firmy Medtronic miały być proste w obsłudze i zapewne w spokojniejszych czasach świetnie pełniłyby swoją funkcję. Jednak w dobie zaawansowanej technologii i atmosfery cybernetycznej wojny trudno o zaufanie. Pacjenci nie przejdą do porządku dziennego nad informacją, że władzę nad ich ciałami mogłyby sprawować osoby trzecie.

Internet huczy od teorii spiskowych. Wystarczy sobie wyobrazić, że rozrusznik wszczepiono ważnym postaciom sceny politycznej lub sędziom czy prokuratorom, którzy nagle stają się zupełnie zależni od sterujących ustawieniami złych ludzi. W mediach społecznościowych pojawiają się historie o szantażowaniu chorych posiadających stymulatory, jednak trudno dać im wiarę. Wizja „śmierci za jednym przyciskiem” pociągnęła za sobą rzesze fanów kinematografii science fiction.

Pacjenci w skrajnym stresie czekają na rozwiązanie

Medtronic pracuje obecnie nad oprogramowaniem wspierającym systemy rozruszników. To zestaw antywirusów i algorytmów zapewniających cyberbezpieczeństwo użytkownikom stymulatorów. Jednak tak poważne systemy muszą przejść skomplikowaną procedurę prawną. Nawet jeśli opracowano by je w kilka dni, to z powodów formalnych ich instalacja mogłaby się odbyć najwcześniej za kilka miesięcy.

Do tego czasu Amerykanie z wszczepionymi rozrusznikami Medtronic mogą jedynie czekać na aktualizację oprogramowania. Jak podkreślają, oczekiwanie odbywa w skrajnym stresie, szczególnie niebezpiecznym dla osób z chorobami serca. 

Póki co Medtronic przesłał im ogólne zalecenia, by nie instalować oprogramowania z dostępem do rozrusznika na komputerach i monitorach domowych czy posiadających porty USB (czyli prawie do wszystkich). Mają korzystać jedynie z zaufanego sprzętu dostarczonego przez lekarza lub przedstawicieli firmy Medtronic.    

Sprawę wadliwych rozruszników odkryli pracownicy firmy Clever Security. Przeprowadzili serię próbnych ataków hakerskich na sprzęt Medtronic, udowadniając, że są w stanie nie tylko przechwycić nazwiska pacjentów i lekarzy, ich numery telefonów, lecz także zmienić ustawienia tak, by spowodować zgon chorych.

Wyniki badań potwierdzających możliwość hakowania rozruszników eksperci dostarczyli amerykańskim władzom i koncernowi Medtronic już w styczniu 2018 r.

Źródła: Gizmodo, Medtronic, CNN