Protección de dispositivos médicos: ¿Puede un hacker romper tu corazón?


¿Por qué los dispositivos médicos conectados son vulnerables a los ataques y qué probabilidades hay de que sean pirateados? Aquí hay cinco grietas digitales en la armadura.

Prácticamente no existe un ámbito en la atención médica actual que no esté adoptando más tecnología. Desde el acceso inalámbrico en tiempo real a sus propios parámetros de salud a través de relojes inteligentes y dispositivos portátiles hasta dispositivos implantados dentro de su cuerpo, la tecnología está por llegar. Pero, ¿podemos asegurarlo todo?

Hace varios años en Black Hat, vimos un bomba de insulina hackeada. Y si la mayor parte del computer software de ese dispositivo estaba disponible, los reguladores dicen que el integrador es responsable de la seguridad en todos los niveles, incluido el sistema operativo (SO) subyacente, incluso si ese SO tiene un buen historial de seguridad. En otras palabras: los fabricantes de dispositivos asumen la responsabilidad, independientemente de la tecnología que utilicen.

Si bien eso impone la carga de la seguridad al fabricante, también aumenta considerablemente el costo y la complejidad de llevar un dispositivo al mercado. Como resultado, mientras que las presiones del mercado se apoyan en las empresas para producir dispositivos rápidamente, el camino por delante parece complicado y caro. Además, puede poner a los pacientes a la defensiva sin saberlo.

¿Y los parches, quién es el responsable de ellos? Según la Food and drug administration, el fabricante también lo hace. Dado que se espera que algunos dispositivos médicos estén disponibles durante muchos años, es mucho tiempo para pagar el equipo de soporte en el campo.

¿Qué hace que los dispositivos sean vulnerables y qué probabilidades hay de que sean pirateados? Como tema de esta semana de Mes de concientización sobre ciberseguridad se centra en la seguridad de los dispositivos conectados a World-wide-web en la atención médica, aquí hay cinco grietas digitales en la armadura:

Muchos dispositivos médicos integran monitoreo e interacción a través de Bluetooth, que tiene un largo historial de vulnerabilidades. Y aunque puede haber parches, es difícil determinar la tasa de adopción serious y el cronograma en el campo. Mientras tanto, si su medición de azúcar en sangre se falsifica, podría correr un peligro físico serious si intenta ajustar los niveles de glucosa en sangre basándose en lecturas falsas.

Muchos hospitales tienen computadoras de administración para sus equipos médicos que se ejecutan en versiones de Windows más antiguas y no compatibles debido a actualizaciones retrasadas del fabricante que realizó la integración. Un fabricante no puede simplemente presionar el último parche de Home windows antes de realizar pruebas exhaustivas en sus unidades para ver problemas de integración, por lo que la verificación de parches puede ser complicada. Un posible atacante tiene la ventaja aquí, ya que puede implementar exploits bien conocidos tan pronto como salgan a la luz y mucho antes de que el fabricante pueda reaccionar.

Muchos dispositivos implantados “llaman a casa” a los médicos a través de la conectividad en la nube para facilitar las actualizaciones del estado de salud y desencadenar eventos en los que los pacientes pueden necesitar buscar atención. Como vimos este año en Black Hat y DEF CON, la seguridad en la nube puede ser menos que estelar. Es poco probable que el paciente tenga una forma de saber acerca de las posibles vulnerabilidades, pero los atacantes se apresuran a aprovechar los exploits conocidos y los bombean a través de sus marcos de ataque con bastante rapidez. En algunos casos, los pacientes han optado por no recibir comunicaciones externas con sus marcapasos citando hackear miedos, pero la adopción de la nube para dispositivos implantados tiene fuertes vientos de cola que impulsan una mayor adopción.

Muchos dispositivos médicos se conectan a redes TCP / IP médicas a través de Ethernet, pero sería muy difícil para muchos médicos y pacientes notar una toma de red colocada en línea con las conexiones existentes. Al exfiltrar datos a través de enlaces inalámbricos integrados en una toma de este tipo, los atacantes podrían espiar el tráfico y crear exploits. De esta manera, los atacantes solo necesitan acceso físico por única vez y no necesariamente tienen que regresar para recuperar el dispositivo si se considera peligroso, debido a su bajo costo.

Los registradores de teclas han sido la tarifa estándar para registrar las pulsaciones de los teclados inalámbricos desde hace algún tiempo, haciéndose pasar por cargadores USB falsos enchufados, mientras que simultáneamente espían en busca de señales y las exfiltran a través de tarjetas inalámbricas 4G industriales. Esto permite la captura de datos confidenciales como contraseñas escritas, pero también puede permitir que los atacantes intenten descargar e instalar exploits de puerta trasera remotos sin pasar por los mensajes de advertencia de los productos de seguridad.

Para concluir

El campo médico ha estado pisándole los talones, en cuanto a seguridad, durante años. Y si bien puede estar dando pasos importantes, muchos dispositivos médicos han funcionado bien todos estos años, disminuyendo la necesidad percibida de actuar. Será un desafío “modernizar la flota” durante algunos años. Aun así, la gente de la medicina ha comenzado a inclinarse en el proceso y obtener los conocimientos técnicos del individual para comenzar a mover la aguja. Mientras tanto, podría ser conveniente conocer cualquier vulnerabilidad que pueda afectar a sus dispositivos médicos, especialmente si están involucrados de manera crítica en su atención médica, como ocurre con muchos.





Enlace a la noticia initial