¿Podrían piratearse los dispositivos médicos implantados?

"Muchos dispositivos implantables, probablemente prácticamente todos, tienen algún tipo de vulnerabilidad de seguridad o vulnerabilidad potencial, o no han sido diseñados teniendo en cuenta la seguridad", dice Bill Aerts, director ejecutivo del Centro de Seguridad de Dispositivos Médicos Archimedes de la Universidad de Michigan.

"Lo que los hace potencialmente vulnerables es que tienen que comunicarse con sistemas externos al cuerpo".

Se está implantando un número creciente de dispositivos electrónicos en los pacientes, y es cada vez más probable que incluyan algún tipo de conectividad inalámbrica. Los dispositivos se comunican no solo con los sistemas hospitalarios, por lo que los médicos pueden actualizarlos de forma remota y recopilar datos sobre las condiciones de los pacientes, sino también con productos electrónicos de consumo, como teléfonos inteligentes, para que los pacientes puedan controlar su progreso.

Estos dispositivos conectados podrían traer riesgos de seguridad que ponen a los pacientes en riesgo, al menos en teoría. Hasta ahora, a pesar de varias alertas de advertencia de vulnerabilidades en los dispositivos médicos, no ha habido ataques en el mundo real y no se sabe que los pacientes hayan sufrido daños.

Vulnerabilidades

Se han encontrado fallas de seguridad en varios dispositivos implantables que podrían permitir cambiar su funcionamiento, por ejemplo, aumentando o disminuyendo el flujo de insulina desde una bomba de insulina o ajustando el ritmo en un marcapasos.

La amenaza, aunque teórica, se consideró grave incluso en 2013, cuando el ex vicepresidente de los Estados Unidos, Dick Cheney, apagó la conectividad inalámbrica en su marcapasos por temor a que pudiera ser pirateado y poner en riesgo su vida.

El año pasado, la Administración de Alimentos y Medicamentos de EE. UU. advirtió a los usuarios de desfibriladores automáticos implantables Medtronic que se había encontrado una falla en varios dispositivos que podría haber permitido que una persona no autorizada los acceda y manipule. Una alerta similar de la FDA en 2017 involucró a varios marcapasos fabricados por St Jude Medical, ahora parte de Abbott (recuadro). La falla de seguridad se solucionó con una actualización de software, pero los pacientes tuvieron que hacer una cita con su médico para que la instalaran.

Los investigadores de seguridad ya han demostrado en principio que los dispositivos médicos implantables podrían ser secuestrados y los pacientes amenazados de varias maneras. Por ejemplo, los investigadores han demostrado cómo el software malicioso se puede poner en un marcapasos de forma remota, lo que hace que retenga los choques necesarios o los innecesarios. a sistemas externos.

Al interferir con estas comunicaciones inalámbricas, los piratas informáticos pueden enviar comandos no autorizados a los dispositivos. Los investigadores suelen alertar a los fabricantes sobre cualquier falla que descubran, lo que permite a las empresas solucionar los problemas antes de que los hackers puedan usarlos.

Desafíos de seguridad

Asegurar dispositivos implantables plantea desafíos particulares. Por lo general, tienen poca memoria y potencia informática, lo que puede limitar las funciones de seguridad. A menudo permanecen in situ durante varios años, y la tecnología más antigua puede ser susceptible a los nuevos tipos de ataque. El cifrado para proteger las comunicaciones hacia y desde el dispositivo contra la intercepción a menudo está ausente porque puede acortar la vida útil de la batería. Los dispositivos también suelen carecer de mecanismos para autenticar que los cambios están siendo realizados por un clínico y no por alguien con malas intenciones.

"Hay un problema de seguridad con los dispositivos implantables, y se ha demostrado en varios casos. Pero es difícil cuantificar cuán grande es porque, para los piratas informáticos, es difícil ganar dinero con esto. Realmente no vale la pena para ellos ", dijo Kevin Curran, profesor de ciberseguridad en la Universidad de Ulster, a The BMJ.

Los modelos tradicionales que usan los delincuentes para ganar dinero con las vulnerabilidades de seguridad no funcionan con dispositivos médicos implantados, dice. Los escritores de malware buscarán ganar dinero con su trabajo de dos maneras principales: cobrarles a las víctimas del ransomware dinero para desbloquear sus archivos cifrados, o infectar computadoras y usarlas para extraer criptomonedas que luego pueden vender.

Los dispositivos médicos tienden a no tener suficiente poder de procesamiento para extraer criptomonedas, y hacer demandas de ransomware no es práctico en los dispositivos implantables debido a las limitaciones de su diseño (a menudo no tienen pantalla y poca memoria integrada) y porque ejecutan sistemas operativos propietarios. "Es difícil ver cómo esto se convierte en un ejercicio de hacer dinero a gran escala", agrega Curran.

Hay otras razones por las que los ciberdelincuentes pueden posponerse para atacar dispositivos implantables. Por ejemplo, con varios defectos de seguridad que se han hecho públicos, el pirata informático necesitaría estar muy cerca del paciente para realizar cambios en el dispositivo, lo que hace que el pirateo no sea práctico.

No obstante, los fabricantes de dispositivos médicos están poniendo más énfasis en la seguridad. Jake Leach, director de tecnología de Dexcom, que fabrica monitores continuos de glucosa, le dice a The BMJ: “A medida que las tecnologías cambian, también lo hacen los piratas informáticos que intentan romperlas. Es obligatorio que establezca mejores funciones de seguridad. Siempre está mejorando su seguridad ". Sin embargo, a diferencia de los fabricantes de muchos otros tipos de tecnología, las compañías de dispositivos médicos se han mantenido en silencio sobre los detalles de los cambios de seguridad dentro de su hardware. Aunque esto puede estar destinado a evitar que los posibles ciberdelincuentes obtengan una idea de cómo funcionan dichos dispositivos, también hace que sea más difícil para los médicos y otras personas obtener una visión real de las fortalezas y debilidades de la seguridad de los dispositivos.

La industria ahora es más consciente de la necesidad de cifrado y verificación en dispositivos implantables para evitar que los hackers aprovechen las vulnerabilidades en las comunicaciones inalámbricas. Sin embargo, los ataques a dispositivos implantables siempre son una posibilidad, ya sea que los piratas informáticos lo intenten o no. El equipo médico no era el objetivo previsto del ataque WannaCry 2017, pero de todos modos se vio afectado. El ransomware desactivó las computadoras del hospital que ejecutan versiones anteriores sin parches del sistema operativo Windows. Sin embargo, el equipo médico en la misma red que las computadoras afectadas se convirtió en daño colateral y el software malicioso también inadvertidamente dejó de actuar.