Os dispositivos médicos implantados podem ser hackeados?

"Muitos dispositivos implantáveis, provavelmente quase todos, têm algum tipo de vulnerabilidade de segurança ou vulnerabilidade potencial, ou não foram projetados com a segurança em mente", disse Bill Aerts, diretor executivo do Archimedes Center for Medical Device Security da Universidade de Michigan.

"O que os torna potencialmente vulneráveis ​​é que eles precisam se comunicar com sistemas fora do corpo."

Um número crescente de dispositivos eletrônicos está sendo implantado em pacientes e é cada vez mais provável que incluam alguma forma de conectividade sem fio. Os dispositivos se comunicam não apenas com os sistemas hospitalares, para que os médicos possam atualizá-los remotamente e coletar dados sobre as condições dos pacientes, mas também com produtos eletrônicos, como smartphones, para que os pacientes possam controlar seu progresso.

Esses dispositivos conectados podem trazer riscos à segurança que colocam os pacientes em risco, pelo menos em teoria. Até agora, apesar de vários alertas sobre as suas vulnerabilidades, não houve ataques no mundo real e não se sabe que os pacientes foram feridos.

Falhas de segurança foram encontradas em vários dispositivos implantáveis ​​que possibilitam alterar o seu funcionamento, por exemplo, aumentando ou diminuindo o fluxo de insulina de uma bomba ou ajustando o ritmo de um marca-passo.

A ameaça, embora teórica, foi considerada séria em 2013, quando o ex-vice-presidente dos Estados Unidos, Dick Cheney, desligou a conectividade sem fio de seu marca-passo por medo de que ele pudesse ser hackeado e colocar sua vida em risco.

No ano passado, o US Food and Drug Administration (FDA) alertou os usuários de cardioversores-desfibriladores implantáveis ​​da Medtronic que uma falha foi encontrada em vários dispositivos que permitiram que uma pessoa não autorizada os acessasse e adulterasse. Um alerta semelhante da FDA em 2017 envolveu vários marca-passos feitos pela St Jude Medical, agora parte da Abbott. A falha de segurança foi corrigida com uma atualização de software, mas os pacientes tiveram que marcar uma consulta com seu médico para instalá-lo.

Pesquisadores já demonstraram, em princípio, que dispositivos médicos implantáveis ​​podem ser hackeados e os pacientes ameaçados de várias maneiras. Por exemplo, pesquisadores demostraram como software malicioso foi colocado em um marcapasso remotamente, fazendo com que retenha choques necessários ou desnecessários.

Ao interferir nessas comunicações sem fio, os hackers podem enviar comandos não autorizados aos dispositivos. Os pesquisadores costumam alertar os fabricantes sobre quaisquer falhas que eles descobrem, permitindo que as empresas consertem os problemas antes que os hackers possam usá-los.

Proteger dispositivos implantáveis ​​apresenta desafios específicos. Eles geralmente têm pouca memória e capacidade de computação, o que pode limitar os recursos de segurança. Frequentemente, eles permanecem no local por vários anos, e tecnologias mais antigas podem ser suscetíveis a novos tipos de ataque. A criptografia para proteger contra interceptação geralmente está ausente porque pode encurtar a vida útil da bateria. Regularmente, os dispositivos também carecem de mecanismos para autenticar que as alterações estão sendo feitas por um médico, e não por alguém com más intenções.

“Existe um problema de segurança com os dispositivos implantáveis, e já foi demonstrado em vários casos. Mas é difícil quantificar o quão grande é porque, para os hackers, é difícil ganhar dinheiro com isso. Realmente não vale a pena. ", disse Kevin Curran, professor de cibersegurança da Universidade de Ulster, ao BMJ.

Os modelos tradicionais que os criminosos usam para ganhar dinheiro com vulnerabilidades de segurança não funcionam com dispositivos médicos implantados, diz ele. Os criadores de malware buscarão ganhar dinheiro com seu trabalho de duas maneiras principais: cobrando dinheiro das vítimas ou infectando computadores e usando-os para minerar criptomoedas que poderão vender.

Dispositivos médicos tendem a não ter poder de processamento suficiente para minerar criptomoedas e fazer ameaças é difícil devido às limitações de design (eles geralmente não têm tela e têm pouca memória interna). "É difícil ver como isso se torna um exercício de geração de dinheiro em grande escala", acrescenta Curran.

No entanto, os fabricantes de dispositivos médicos estão colocando mais ênfase na segurança. Jake Leach, CTO da Dexcom, que fabrica monitores contínuos de glicose, disse ao BMJ: “À medida que as tecnologias mudam, o mesmo ocorre com os hackers que tentam quebrá-las. Você deve estar sempre melhorando sua segurança.” No entanto, ao contrário dos fabricantes de muitos outros tipos de tecnologia, as empresas de dispositivos médicos têm omitido os detalhes das mudanças de segurança, o que torna mais difícil para que os profissionais de saúde obtenham uma visão real dos pontos fortes e fracos dos dispositivos.

A indústria está mais ciente da necessidade de criptografia e verificação em dispositivos implantáveis ​​para evitar que hackers explorem vulnerabilidades em comunicações sem fio. No entanto, ataques a dispositivos implantáveis ​​são sempre uma possibilidade. A equipe médica não era o alvo pretendido do ataque WannaCry 2017, mas foi afetada mesmo assim. O ransomware desabilitou os computadores do hospital que executavam versões mais antigas e não corrigidas do sistema operacional Windows. No entanto, o equipamento médico na mesma rede que os computadores afetados tornou-se um dano colateral e o software malicioso também parou de agir inadvertidamente.

É improvável que demore muito para que os médicos tenham que responder às perguntas dos pacientes sobre a segurança do dispositivo. De acordo com Rohin Francis, cardiologista da University College London com interesse na tecnologia, as pessoas já sabem sobre a segurança dos dispositivos implantáveis, mas avaliar o risco continua sendo um desafio.

“Veremos mais pânico e mais conversas entre pacientes e médicos sobre os perigos dos dispositivos implantáveis”, diz ele. “Haverá muitas pessoas que alarmarão o medo, e também muitas outras pessoas que minimizarão o risco. Será muito difícil para os pacientes ou médicos descobrirem a realidade."

Falar com pacientes com autoridade pode ser um desafio para os médicos. De acordo com uma análise publicada no ano passado, apenas 2% dos resumos de produtos de dispositivos médicos implantáveis ​​regulamentados pela FDA incluíam informações de segurança cibernética. Os autores do estudo disseram que isso "é uma preocupação porque evita que pacientes e médicos tomem decisões totalmente informadas sobre os riscos potenciais associados aos produtos que usam".

O FDA publicou diretrizes pré e pós-comercialização sobre a segurança de dispositivos implantáveis. O órgão governamental estabeleceu que a responsabilidade pela manutenção da segurança do dispositivo é compartilhada entre os fabricantes de dispositivos, profissionais de saúde e pacientes. Também destacou que a segurança cibernética deve ser incluída no projeto e desenvolvimento de hardware médico implantável e que os fabricantes devem ter programas de gerenciamento de risco que estabeleçam como devem corrigir vulnerabilidades recém-descobertas antes que possam ser exploradas.

Na Europa, a nova regulamentação de dispositivos médicos que entrou em vigor em maio de 2020 afetou os dispositivos implantáveis. O regulamento afirmou que qualquer dispositivo que usa software deve ser fabricado "de acordo com o estado da arte" em torno de certos elementos de segurança, e os fabricantes de hardware devem estabelecer padrões mínimos de segurança, incluindo a prevenção de usuários não autorizados de sequestro.

No Reino Unido, um código de conduta para tecnologia de saúde e cuidados com base em dados, atualizado em 2019, também estabeleceu 10 princípios que devem reger a tecnologia de saúde, incluindo fabricantes que tornam a segurança abrangente para o design.

Os médicos, que consideram os riscos de segurança de diferentes dispositivos, enfrentam outro desafio: a segurança de dispositivos é uma área de pesquisa relativamente nova e poucos estudos comparam a segurança de dispositivos implantáveis.

Os médicos "não são programadores", diz Francis. "Somos as pessoas erradas para descobrir quais são os riscos. Precisamos de uma boa liderança da indústria e dos reguladores de dispositivos."

De acordo com Aerts, a educação do paciente sobre a segurança cibernética dos dispositivos deve "ser integrada a toda a cadeia de suporte, por exemplo, enfermeiras e médicos que devem fornecer ajuda aos pacientes e manter os dispositivos.”

“Além disso, poderia haver mais educação e conscientização pública, coisas que podem ser feitas em escala nacional”, diz ele. “Isso não quer dizer que a primeira pessoa com quem o paciente vai querer falar não será o médico, ou que o médico não deve ter um conhecimento superficial, mas o fardo não deve recair sobre o médico.”

"O público precisa ser educado sobre segurança e os profissionais de saúde necessitam ter recursos disponíveis para responder a perguntas e fornecer educação e treinamento."