Inteligentne pompy insulinowe, elektrokardiografy czy ciśnieniomierze zapewniają pacjentom lepszą opiekę i ułatwiają komunikację z placówkami ochrony zdrowia. Rynek inteligentnych biosensorów medycznych w Europie przeżywa szybki wzrost, w tym roku przychody w tej branży mają sięgnąć 2,89 mld dolarów według danych Statista. Jednak wraz z postępem technicznym pojawiają się nowe cyberzagrożenia, ostrzegają eksperci firmy WithSecure. Każde inteligentne urządzenie może być furtką do sieci szpitala czy przychodni.
Branża ochrony zdrowia na co dzień wykorzystuje systemy i inteligentne urządzenia połączone z siecią. Wymiana danych pomiędzy nimi odbywa się głównie za pośrednictwem standardowego protokołu HL7 (protocol Health Level Seven). Umożliwia on bezpieczne i szybkie przesyłanie informacji, takich jak wyniki badań czy dawkowanie leków.
– Niestety, powszechne wykorzystanie protokołu HL7 sprawia, że stanowi on atrakcyjny cel dla cyberprzestępców. Ataki mogą prowadzić do poważnych konsekwencji, takich jak wyciek i kradzież informacji o pacjentach, manipulacja danymi medycznymi a nawet sparaliżowanie działania krytycznych systemów medycznych. Podobnie jak w innych branżach, cyberataki na placówki ochrony zdrowia są ciągle doskonalone i dopasowywane do ich specyfiki, więc skala zagrożeń rośnie – podkreśla Leszek Tasiemski, VP w firmie WithSecure.
Urządzenia zgodne ze standardem HL7, jeśli zostaną nieprawidłowo skonfigurowane, mogą być podatne na zagrożenia. Gdy został on stworzony, zakładano, że zabezpieczenia będą implementowane w samych aplikacjach lub sprzęcie. Takie podejście otworzyło jednak cyberprzestępcom możliwość wykorzystania luk w samym protokole. Jedną z nich jest brak konieczności uwierzytelniania przed wysłaniem wiadomości. Każde urządzenie może wysyłać informacje do dowolnego serwera lub aplikacji pod warunkiem, że znajdują się w tej samej sieci, zaś opcje uwierzytelniania są opcjonalne.
HL7 umożliwia też zmianę komunikatów, więc po włamaniu się do szpitalnej sieci przestępcy mogą przechwycić i zmienić przesyłane między urządzeniami wiadomości. Komunikaty HL7 są również domyślnie przekazywane jako zwykły tekst. Jeśli przestępca przechwyci ruch do lub z urządzeń medycznych, może łatwo pozyskać poufne informacje – dane pacjenta czy kontakt do jego bliskich. Protokół może też być podatny na tzw. ataki DoS (Denial of Service).
Jak wskazuje konsultantka ds. bezpieczeństwa w WithSecure, Katie Inns, testowanie protokołu HL7 pod kątem bezpieczeństwa może być problematyczne i istnieje niewiele narzędzi, które to umożliwiają. Ekspertka stworzyła swoje narzędzie, HL7Magic, które ułatwia testowanie protokołu HL7 i pomaga testerom bezpieczeństwa zajmującym się identyfikacją luk w urządzeniach medycznych.
