Sprzęt medyczny na celowniku hakera

Wiele urządzeń służących do diagnostyki, monitorowania i terapii pacjenta jest podłączonych do sieci, a zatem wymagają właściwego zabezpieczenia – uczula Agata Mizera, starsza menedżerka w zespole Cybersecurity firmy Deloitte, w rozmowie z Lidią Sulikowską.

Hakerzy chętnie atakują branżę medyczną?

To dla nich bardzo łakomy kąsek. Szpitale, przychodnie i inne obiekty związane z ochroną zdrowia posiadają bardzo cenne dane, które można wykorzystać na wiele sposobów. Najbardziej znane są ataki typu ransomware, których celem jest uzyskanie korzyści finansowych. Atak polega na zaszyfrowaniu dostępu do danych, tak aby nie można było się do nich dostać, a warunkiem ich odblokowania jest zapłacenie okupu.

Czasem chodzi też o wykradanie danych i ich sprzedaż na czarnym rynku. Przy tego typu incydentach może też dojść do naruszenia integralności danych, np. ich modyfikacji. Często, gdy nie ma fizycznego zablokowania dostępu do danych i żądania okupu, trudno w ogóle się zorientować, że nastąpił atak. Wówczas hakerom zależy, aby ich aktywność pozostała ukryta.

Szacuje się, że tylko jedna trzecia wszystkich incydentów bezpieczeństwa wychodzi na jaw. Na szczęście mamy coraz większą świadomość tego rodzaju zagrożeń, więc lepiej je wykrywamy. Cyberbezpieczeństwo w placówkach medycznych kojarzy się przede wszystkim z ochroną dostępu do systemów gromadzących dane medyczne. Tymczasem bezpośrednim celem ataków mogą być również urządzenia medyczne.

Bezpieczeństwo urządzeń medycznych przez długi czas definiowano jako ochronę przed fizycznym zagrożeniami typu pożar, zalanie. Od momentu, gdy te sprzęty stały się bardziej cyfrowe, zintegrowane z systemami informatycznymi placówki medycznej, zaczęto baczniej zwracać uwagę również na kwestię ich cyberbezpieczeństwa.

Obecnie wiele urządzeń medycznych, takich jak sprzęt do monitorowania parametrów życiowych, podawania tlenu, rozruszniki serca, pompy insulinowe, roboty chirurgiczne, aparaty EKG, USG czy rezonanse magnetyczne, to zaawansowane technologicznie maszyny podłączone do sieci, do których niejednokrotnie mamy dodatkowo dostęp za pomocą komputera, telefonu czy tabletu. To urządzenia, które nie tylko zbierają dane pacjenta, ale na przykład mogą też dokonywać analizy trendów i sygnalizować niepokojące zmiany.

Coraz popularniejsze są aplikacje ułatwiające lekarzom przetwarzanie informacji. Te funkcjonalności są wygodne, bo optymalizują pracę, ale mogą powodować też konkretne podatności na wyłudzenie danych albo zakłócenie działania sprzętu, więc wymagają odpowiedniego zabezpieczenia. Problem polega na tym, że brakuje powszechnie obowiązujących, wystandaryzowanych regulacji, które wymuszałyby montowanie w tych urządzeniach konkretnych zabezpieczeń przed atakami hakerskimi.

Uregulowanie tego obszaru systematycznie się poprawia, jednak jest jeszcze sporo do zrobienia. Nie bez znaczenia pozostaje koszt wyprodukowania urządzenia. Lepsza jakość zazwyczaj zwiększa cenę. Tańszy sprzęt może na przykład podnosić ryzyko, że zamontowany w nim system będzie zawierał luki w oprogramowaniu albo umożliwiał nieautoryzowany dostęp.

Dużo już było ataków na urządzenia medyczne?

Zainteresowanie włamaniami wzrasta proporcjonalnie do możliwości, jakie te sprzęty oferują. Już teraz regulacjom amerykańskiej FDA (Food and Drug Administration) podlega ponad 190 tys. różnych urządzeń medycznych, a przewiduje się, że ich liczba wzrośnie do prawie 50 miliardów do 2030 r. Ataków więc będzie przybywać.

Pierwsze ślady takich incydentów odkrywano już niemal dwie dekady temu. To nie jest science fiction. W 2011 r. głośno było o pompach insulinowych jednego z producentów tych urządzeń, nad którymi można było w dość prosty sposób przejąć kontrolę i na przykład podać śmiertelną dawkę insuliny. Wystarczyło znać adres IP urządzenia i dokonać ataku w czasie, gdy było podłączone do sieci internetowej.

Wydano ostrzeżenia dla 7800 użytkowników tych pomp, a Kanada przestraszyła się tak bardzo, że profilaktycznie wymieniła urządzenia wszystkim swoim pacjentom, nie tylko tego konkretnego producenta. Wówczas nikt fizycznie nie ucierpiał, ale potencjalne ryzyko istniało.

Obecnie dobra praktyka nakazuje wbudowanie funkcji zdalnego wyłączania dostępu do każdej pompy insulinowej. W podobnym czasie grupie naukowców udało się przejąć kontrolę nad robotem chirurgicznym jednego z wiodących producentów. Włamanie wymagało jednak dostępu do sieci lokalnej, do której urządzenie zostało podpięte. Nie było luki w oprogramowaniu.

To była lekcja dla producentów, że trzeba dbać nie tylko o zabezpieczenie urządzenia, ale też dokładnie określać parametry jego podłączenia do sieci czy wręcz wymuszać dodatkowe formy bezpieczeństwa, na przykład niepozwalające wpiąć się do niewystarczająco chronionej sieci.

Na początku roku amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ostrzegła, że w oprogramowaniu pewnego urządzenia do monitorowania parametrów życiowych pacjentów wykryto lukę bezpieczeństwa.

Ten przykład pokazuje, na jak wiele sposobów można zaszkodzić. To konkretne urządzenie miało w pierwotnej wersji oprogramowania zaszytą podatność pozwalającą na automatyczne łączenie go z potencjalnie podejrzaną lokalizacją, która nie była powiązana ani z producentem sprzętu, ani jego odbiorcami.

Do tej lokalizacji mogły być ściągane w sposób nieautoryzowany pliki, ale też możliwa była ingerencja w dane gromadzone na tym urządzeniu. Żaden pacjent nie został pokrzywdzony w sensie fizycznym w wyniku tej luki bezpieczeństwa, ale nie wiadomo, czy jakieś dane nie wyciekły.

Co mogło się stać?

Hipotetycznie mogłyby zostać nadpisane parametry urządzenia, np. aby nie alarmowało o podwyższonych wynikach ciśnienia lub modyfikowało zbierane informacje, czyniąc je niezgodnymi z mierzonymi pomiarami. Można też było ustalić, gdzie konkretnie znajduje się dany pacjent. Poza tym urządzenie nie pokazywało w odpowiedni sposób, gdzie się łączyło, co czyniło je podatnym na ataki DDoS, a w konsekwencji mogło skutkować jego zawieszeniem albo wyłączeniem.

Jak placówki medyczne mogą zminimalizować ryzyko tego rodzaju cyberataków?

Warto zwracać uwagę, czy urządzenie jest odpowiednio chronione na poziomie sprzętowym, np. wyposażone w alerty o nieautoryzowanych dostępach, szyfrowanie danych, bezpieczną pamięć, a także wymaganie łączenia tylko w bezpiecznej sieci. Często sprzęt starszego typu nie jest na bieżąco kalibrowany, bo trzeba by go na ten czas wyłączyć z użytkowania.

Tymczasem regularne aktualizacje oprogramowania, w tym instalowanie łatek bezpieczeństwa, są kluczowe dla bezpiecznego działania. Oczywiście kwestia wdrożenia odpowiednich zabezpieczeń leży także po stronie działów IT placówek medycznych. Warto, aby urządzenia medyczne podłączać do sieci, do której ma dostęp ograniczona liczba osób. Nie bez znaczenia są też zasady, których powinni przestrzegać użytkownicy urządzeń, czyli medycy.

To znaczy?

Na pewno należy uważać na podejrzane alerty, szczególnie takie, które wcześniej się nie zdarzały. Sygnałem wymagającym sprawdzenia może być na przykład komunikat mówiący o problemie z połączeniem do sieci i wskazujący konieczność przepięcia urządzenia do innej sieci albo wyskakujące informacje o błędach. Dobrze jest też upewnić się, czy wygląd pulpitu urządzenia się nie zmienił, np. jakiś wskaźnik jest w innym miejscu ekranu niż dotychczas.

Ważne jest też, aby nie dopuszczać do fizycznego dostępu do urządzenia osobom nieautoryzowanym, np. pod pretekstem naprawy. Zdecydowanie należy zwracać uwagę, czy jakiś dodatkowy kabel czy pendrive nie jest podpięty do urządzenia. Jeśli jest problem z siecią szpitalną, absolutnie nie podłączajmy urządzenia do internetu za pomocą prywatnego routera.

I najważniejsze: przestrzegajmy wymogów narzucanych przez dział informatyczny szpitala czy przychodni. Rozmawiając o kwestiach cyberbezpieczeństwa z działami IT placówek medycznych, często zauważamy niespójność pomiędzy tym, jakie zabezpieczenia trzeba wdrożyć, a modelem biznesowym firmy. Jeśli lekarz ma dla jednego pacjenta 15 minut, a musi w tym czasie stosować wieloskładnikowe logowanie do systemów i urządzeń, to jest to coś niewygodnego. Pamiętajmy jednak, że procedury są potrzebne, nawet jeśli zabierają czas.

Do danych przetwarzanych w szpitalu czy przychodni można też się dostać w jeszcze mniej oczywisty sposób niż urządzenie medyczne.

Zdecydowanie tak. Ofiarą ataku mogą paść inne fizyczne elementy infrastruktury placówki medycznej, takie jak klimatyzacja, monitoring, systemy ogrzewania oraz dostępu do wody i prądu, które są podłączone do sieci. I to nie tylko jako wektory ataku bezpośrednio wpływającego na ich działanie, ale jako droga dostępu do sieci, a w konsekwencji do danych medycznych.

Źródło: „Gazeta Lekarska” nr 5/2025