В кардиостимуляторах компании Medtronic обнаружили уязвимость, угрожающую жизни пациентов
10 августа 2018 года
Исследователи в области кибербезопасности Билли Риос и Джонатан Батс обнаружили опасную уязвимость в кардиостимуляторах, выпускаемых компанией Medtronic. Своими изысканиями они поделились в рамках завершившейся накануне в Лас-Вегасе конференции Black Hat.
Как пишет Ars Technica, уязвимость была обнаружена еще в январе прошлого года, и исследователи уведомили Medtronic о ее существовании, однако устройства компании до сих пор остаются уязвимыми. Суть проблемы заключается в том, что кардиостимуляторы не используют зашифрованное соединение при обновлении прошивки, что позволяет злоумышленникам удаленно загрузить на имплантируемое устройство вредоносный код. Это несет реальную угрозу здоровью и жизни пациентов.
В качестве доказательства Риос и Батс продемонстрировали публике взлом устройства CareLink 2090 (программатор для кардиостимуляторов, используемый врачами после вживления устройств пациентам). В ходе демонстрации загрузили на программатор вредоносную прошивку. По их словам, после этого зараженное устройство получило возможность влиять на работу кардиостимулятора.
Эксперты уточнили, что для взлома устройства CareLink 2090 существует два способа. Первый использует уязвимости в системе обновления прошивки, получаемой от Medtronic (он и был продемонстрирован на конференции), а второй заключается в проникновении во внутреннюю сеть самой компании. Поскольку серверы Medtronic используются для обновления прошивок устройств пациентов, этот способ Риос и Батс не проверяли на практике.
В заявлении Medtronic говорится, что компания получила информацию об уязвимости программатора в феврале прошлого года и решила ее, усилив системы защиты. Также в компании напомнили, что инструкция к CareLink 2090 предписывает использовать устройство в безопасной среде и подключать его только к защищенным сетям.
Однако исследователи раскритиковали компанию за медленную реакцию на угрозы. "В настоящее время, как исследователи в области безопасности, мы считаем, что преимущества имплантируемых медицинских устройств перевешивают риски. Однако, когда производители ведут себя так, как это делал Medtronic, им трудно доверять", – сказал Риос.
Отметим, это не первый подобный случай. В конце августа прошлого года Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) предупредило владельцев 465 тысяч кардиостимуляторов о необходимости срочно обновить прошивку устройств из-за угрозы их взлома хакерами. Речь шла о стимуляторах компании Abbott, а найденная в них уязвимость позволяла хакерам получить к ним доступ, а затем изменить скорость работы или быстро разрядить встроенную батарею.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
