Odkryto lukę bezpieczeństwa w aparatach do narkozy

Badacze zajmujący się cyberbezpieczeństwem odkryli poważną lukę w aparatach znanego producenta sprzętu. Jeśli urządzenie jest podłączone do sieci, pozwala ona w teorii przejąć zdalną kontrolę i zmienić parametry jego działania, potencjalnie narażając w ten sposób zdrowie, a nawet życie pacjentów.

Cyberbezpieczeństwo to problem dotyczący nie tylko komputerów. Dowiedli tego badacze z firmy CyberMDX, którzy odkryli poważną lukę w oprogramowaniu wybranych modeli aparatów do narkozy GE Aestiva i GE Aespire. Urządzenia te zostały zaprojektowane w taki sposób, by można było zdalnie kontrolować ich pracę i korygować ich działanie. Producent nie przewidział jednak odpowiedniego mechanizmu uwierzytelniania, w związku z czym kontrolę nad aparatem może przejąć w zasadzie każdy internauta, któremu uda się podłączyć do sieci konkretnego szpitala.

Poważna luka

Informacja o luce w oprogramowaniu aparatów do narkozy jest wyjątkowo niepokojąca, ponieważ jej wykorzystanie może realnie zagrozić zdrowiu, a nawet życiu pacjentów. Nowo odkryta podatność pozwala przestępcom m.in. kontrolować skład preparatów używanych do znieczulenia ogólnego, zmieniać ciśnienie gazu oraz wyłączyć ostrzeżenia o zbyt wysokiej lub niskiej dawce podawanego środka. W skrajnych przypadkach wspomniane działania mogą doprowadzić do śmierci pacjentów.

– Wiele osób żyje w przeświadczeniu, że w razie włamania do sieci ryzykują co najwyżej wyciekiem swoich nagich zdjęć lub danych konta bankowego. Mało kto ma świadomość, że w skrajnych przypadkach taki atak może doprowadzić do śmierci wielu osób – komentuje Piotr Zielaskiewicz, product manager rozwiązań Stormshield.

W komentarzu dla serwisu ZDNet, producent zapewnia, że jeśli nie podłączymy aparatury do szpitalnej sieci, nie może dojść do niebezpiecznej sytuacji. Producent został poinformowany o luce przed publikacją raportu ekspertów.

Świadomość zagrożenia

Nowa podatność wykryta w urządzeniach wyróżnia się tym, że wyjątkowo łatwo wyobrazić sobie jakie niesie ze sobą konsekwencje. Nie jest to jednak odosobniony przypadek. Jak alarmują specjaliści zajmujący się cyberbezpieczeństwem, pracujące w firmowej sieci urządzenia IoT często nie posiadają skutecznych zabezpieczeń przed nieuprawnionym dostępem, przez co stanowią idealny cel ataku dla przestępców. Przykładów nie trzeba szukać daleko – w zeszłym roku doszło do groźnego incydentu, kiedy jedno z przedsiębiorstw pracujących w branży petrochemicznej zostało zainfekowane złośliwym oprogramowaniem za pośrednictwem… ekspresu do kawy. Choć brzmi to absurdalnie, to konsekwencje zdarzenia mogły być bardzo poważne i niewiele brakowało, by na skutek ataku doszło do katastrofy ekologicznej.

– Największym zagrożeniem jest brak świadomości wśród administratorów, że celem ataku mogą być nie tylko stacje robocze i serwery, ale również każde inne urządzenie podłączone do sieci – nieważne czy jest to ekspres do kawy, drukarka czy telewizor – tłumaczy Piotr Zielaskiewicz.

Źródło: nt.interia.pl