Berta Sándor
Defibrillátorok százezreit támadhatják hackerek
Elsősorban a beültetett eszközök veszélyeztetettek.
Az Amerikai Egyesült Államok Nemzeti Kiberbiztonsági és Kommunikációs Integrációs Központ Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (NCCIC CISA) riasztást adott ki, amely a Medtronic cég megoldásait érintő tavaly januári biztonsági hibákat és az azokkal kapcsolatos kockázatokat írta le. A hiányosságokat a Clever Secuity biztonsági szakértői fedezték fel.
A Star Tribune információi alapján a Medtronic érintett készülékeit több mint 750 000 betegnél használják és képesek felismerni a szívritmuszavarokat, majd utána azonnal elektrosokkot alkalmazni közvetlenül a páciens szívénél. A hiba a gyártó több mint tucatnyi modelljét érinti, a különböző pacemakereket ugyanakkor nem.
Amennyiben egy hacker kellő tudással rendelkezik az ilyen jellegű eszközökkel kapcsolatban, akkor könnyen és célzottan manipulálhatja a defibrillátorokat, módosíthatja az alkalmazott firmware-verziókat, kiolvashatja a készülékeken eltárolt neveket, címeket és telefonszámokat, sőt, akár célzottan elektrosokkot is kiválthat vagy kikapcsolhatja ezt a funkciót, amely életveszélyes helyzeteket teremthet. A biztonsági szakemberek azt tanácsolták az érintett betegeknek, hogy az eszközöket csak ellenőrzési célra használják.
Az érintett modelleket csak akkor lehet támadni, ha valaki elég közel van azokhoz, hiszen az akciók azon a vezeték nélküli kapcsolaton keresztül valósíthatók meg, amelyet karbantartási és betegfelügyeleti célokra alkalmaznak. A szaktárca ugyanakkor azt nem közölte, hogy a támadónak mekkora távolságra kell lennie egy sikeres akcióhoz. Komoly probléma, hogy a kapcsolat nem titkosított és nem alkalmaz tanúsítványokat az adatok átvitelekor. A karbantartáshoz használt két megoldás, a MyCareLink és a CareLink, is csak egy nyolc számjegyű jelszóval van védve, amelyet a kutatók mindössze kevesebb, mint 30 másodperc alatt feltörtek Brute Force-támadás segítségével.
Azt egyelőre nem lehet tudni, hogy a hiányosságokat kihasználták-e valaha. A Medtronic szerint ugyan voltak utalások, de az eseteket még vizsgálják a szakemberek. A gyártó firmware-frissítést akar kiadni az összes érintett modellhez.
Az Amerikai Egyesült Államok Nemzeti Kiberbiztonsági és Kommunikációs Integrációs Központ Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (NCCIC CISA) riasztást adott ki, amely a Medtronic cég megoldásait érintő tavaly januári biztonsági hibákat és az azokkal kapcsolatos kockázatokat írta le. A hiányosságokat a Clever Secuity biztonsági szakértői fedezték fel.
A Star Tribune információi alapján a Medtronic érintett készülékeit több mint 750 000 betegnél használják és képesek felismerni a szívritmuszavarokat, majd utána azonnal elektrosokkot alkalmazni közvetlenül a páciens szívénél. A hiba a gyártó több mint tucatnyi modelljét érinti, a különböző pacemakereket ugyanakkor nem.
Amennyiben egy hacker kellő tudással rendelkezik az ilyen jellegű eszközökkel kapcsolatban, akkor könnyen és célzottan manipulálhatja a defibrillátorokat, módosíthatja az alkalmazott firmware-verziókat, kiolvashatja a készülékeken eltárolt neveket, címeket és telefonszámokat, sőt, akár célzottan elektrosokkot is kiválthat vagy kikapcsolhatja ezt a funkciót, amely életveszélyes helyzeteket teremthet. A biztonsági szakemberek azt tanácsolták az érintett betegeknek, hogy az eszközöket csak ellenőrzési célra használják.
Az érintett modelleket csak akkor lehet támadni, ha valaki elég közel van azokhoz, hiszen az akciók azon a vezeték nélküli kapcsolaton keresztül valósíthatók meg, amelyet karbantartási és betegfelügyeleti célokra alkalmaznak. A szaktárca ugyanakkor azt nem közölte, hogy a támadónak mekkora távolságra kell lennie egy sikeres akcióhoz. Komoly probléma, hogy a kapcsolat nem titkosított és nem alkalmaz tanúsítványokat az adatok átvitelekor. A karbantartáshoz használt két megoldás, a MyCareLink és a CareLink, is csak egy nyolc számjegyű jelszóval van védve, amelyet a kutatók mindössze kevesebb, mint 30 másodperc alatt feltörtek Brute Force-támadás segítségével.
Azt egyelőre nem lehet tudni, hogy a hiányosságokat kihasználták-e valaha. A Medtronic szerint ugyan voltak utalások, de az eseteket még vizsgálják a szakemberek. A gyártó firmware-frissítést akar kiadni az összes érintett modellhez.