וִידֵאוֹ: בלם בלם: האם האקרים יכולים לפגוע בקוצבי לב, שתלים רפואיים אחרים?
2023 מְחַבֵּר: Peter Bradberry | [email protected]. שונה לאחרונה: 2023-05-21 22:33
חוקרים מזהירים כי מכשירים רפואיים מושתלים עלולים להיות פגיעים למכות סייבר.
זה נשמע כמו עלילה מופרכת של מותחן מדע בדיוני: רעים מכים פוליטיקאי בכיר או קפטן תעשייה על ידי פריצה והתעסקות מרחוק בקוצב הלב שלו, במשאבת האינסולין, בדפיברילטור המשתיל (ICD) או שתל רפואי אחר. למרבה הצער, מחקרים חדשים מראים שתרחיש כזה אינו עוד רק מדע בדיוני.
מדענים מבית הספר לרפואה של בית הספר לרפואת בית ישראל בהרווארד בבוסטון, מאוניברסיטת מסצ'וסטס אמהרסט ומאוניברסיטת וושינגטון בסיאטל, אומרים כי הם הצליחו לפגוע בסייבר נגד וללקט נתוני חולים פרטיים מפרוטוקול התקשורת של ה- ICD תוך שהם בודקים את בטיחות המכשיר ו בִּטָחוֹן.
החוקרים בדקו Maximo DR VVEDDDR (מיוצר על ידי מדטרוניק, Inc. מבוססת מיניאפוליס), מכיוון שמדובר ב- ICD אופייני עם פעולות קצב (גירוי חשמלי קבוע ותקופתי) ודפיברילציה (הלם יחיד, גדול) שמתקשרת עם מכשיר ניטור חיצוני. קטן יותר ממחשב נייד. במכשיר הניטור יש אנטנה כף יד שהחולה מחזיק מעל חזהו, שם מושתל ה- ICD, לקריאת מידע באופן אלחוטי. המדענים מודים כי ממצאיהם מוגבלים ל- ICD מסוים זה (זמין בארה"ב מאז 2003), אך מזהירים כי הוא מדגיש את הסכנות הפוטנציאליות שעליהם היצרנים חייבים לטפל.
מנתחים משתילים באופן שגרתי ICD וקוצבי לב בחולים עם פעימות לב לא סדירות, בדרך כלל מניחים אותם ממש מתחת לעור מתחת לעצם הבריח (עצם הבריח) של המטופל ומצמידים את חוטיו הדקים-שפם בתוך שריר הלב או על פניו. פעימות לב לא סדירות מפעילות את המכשיר המושתל לשלוח מכות חשמל להחזרת קצב תקין. מרבית המכשירים הללו רושמים ומתעדים אירועים כאלה, מידע אליו עובדי שירותי הבריאות יכולים לגשת באופן אלחוטי באמצעות מכשירי ניטור.
תאר לעצמך את ההשלכות, אם מישהו היה מגדיר מחדש בזדון קוצב לב מרחוק, כך שהוא לא יצליח לזעזע לב מהיר או להיפך, קופץ כזה שמכה כרגיל. עם זאת, זה בדיוק מה שחוקרים מזהירים יכול לקרות במאמר שהם אמורים להציג בתערוכת IEEE לשנת 2008 בנושא אבטחה ופרטיות באוקלנד, קליפורניה, במאי. בעיתון, שפורסם באתר האינטרנט שלהם אבטחת מכשור רפואי, הם כתבו כי הם לא מתקשים לגשת למידע רגיש ללא הצפנה ב- ICD, כולל רישומי מטופלים וסימנים חיוניים, ואז לתכנת מחדש את ההגדרות הקובעות מתי המכשיר צריך לנהל התחשמלות.
החוקרים כותבים כי "איזון בין אבטחה ופרטיות לבין בטיחות ויעילות יהפוך לחשוב יותר ויותר ככל שיתפתחו טכנולוגיות [מכשור רפואי מושתל". הם הדגישו כי חולים עם ICD, קוצבי לב, נוירו-ממריצים, משאבות סמים מושתלות ומכשירים רפואיים דומים להשתלה (IMD) אינם נמצאים בסכנה קרובה, והצביעו כי "אף חולה IMD לא נפגע מעולם מהתקפה ביטחונית זדונית", לדעתם. אך הם ציינו כי יש צורך בבקרות אבטחה ופרטיות מהודקות יותר כדי למנוע שביתות אפשריות בעתיד.
בין ארסנל הפריצה של החוקרים: אנטנה האזנה להרים ולקרוא מידע על המטופל; אנטנה משדרת לשליחת הוראות משבשות ל- ICD; אוסצילוסקופ להמחשה ולהקלטת אותות הנשלחים אל המכשיר וממנו; ומכשיר רדיו היקפי אוניברסלי (USRP), מכשיר שאיפשר להם ליצור רדיו תוכנה במחשב שלהם.
"התוצאות שלנו מראות כי שידורים אלחוטיים חושפים נתונים פרטיים", הם כתבו, כולל שם של מטופל, תאריך לידה, היסטוריה רפואית ומספר תעודת זהות, כמו גם את שם הרופא המטפל ופרטי הקשר שלו, ואת דגם ה- ICD והמספר הסידורי. (כל המידע הזה נוצר במיוחד עבור פרויקט המחקר - לא נעשה שימוש בנתוני חולה בפועל.).
בעיות אבטחה ימשיכו לפגוע בטכנולוגיות חדשות כאשר הן נכנסות לזרם המרכזי ומושכות את תשומת ליבן של האקרים ממחשבים ערמומיים; זו בעיה שיש מחשבים אישיים, מכשירים ניידים ותגי זיהוי תדרי רדיו לאורך כל התבגרותם, אומר גדי עברון, חוקר אבטחה המתמחה בהערכת פגיעות מחשבים. עברון העלה את הנושא בכנס ההאקרים הבינלאומי Chaos Communication Camp שהתקיים בשנה שעברה בברלין, גרמניה, באמצעות מצגת שכותרתה "פריצת האיש הביוני: מדע בדיוני או ביטחון בשנת 2040?".
"כל אותן טעויות אבטחה נעשות שוב ושוב", אומר עברון. "כל עוד אנשים כותבים [תוכנה], יהיו באגים ופגיעות מכיוון שלעולם לא באמת מתבצע מעקב אחר עיצוב מאובטח."
הגנה על עזרים רפואיים מושתלים היא מסובכת מכיוון שעל היצרנים להימנע מאמצעי אבטחה העלולים לגרום לסוללות המכשירים להתרוקן או לעכב בדרך אחרת את פונקציות הצלת החיים שלהם. החוקרים מציעים כי יצרנים ישלבו הגנות "אפס כוח" בתכנונים עתידיים, כמו תגי זיהוי של תדרי רדיו שיוצרים רעידות או מתריעים בקולי קולות למטופל על התעסקות אפשרית מבלי לפגוע בחשמל.
"הדבר הראשון שצריך לעשות הוא לא להפחיד אנשים", אומר עברון ומציין כי שובבות כזו אינה סבירה בשלב זה. אך לדבריו, חשוב לעקוב אחר הנושא, בהתחשב בפוטנציאל לצרות. "עלינו להכניס את פיתוח המחשבים והאבטחה לתחום המכשור הרפואי", הוא אומר, "כך שאנחנו לא עומדים בפני סיכוני אבטחה בעוד 10 או 15 שנים מהיום.".