Cyberbezpieczeństwo to problem dotyczący nie tylko komputerów. Dowiedli tego badacze z firmy CyberMDX, którzy odkryli poważną lukę w oprogramowaniu wybranych modeli aparatów do narkozy GE Aestiva i GE Aespire. Urządzenia te zostały zaprojektowane w taki sposób, by można było zdalnie kontrolować ich pracę i korygować ich działanie. Producent nie przewidział jednak odpowiedniego mechanizmu uwierzytelniania, w związku z czym kontrolę nad aparatem może przejąć w zasadzie każdy internauta, któremu uda się podłączyć do sieci konkretnego szpitala. 

Zagrożenie dla zdrowia i życia 

Informacja o luce w oprogramowaniu aparatów do narkozy jest wyjątkowo niepokojąca, ponieważ jej wykorzystanie może realnie zagrozić zdrowiu, a nawet życiu pacjentów. Nowo odkryta podatność pozwala przestępcom m.in. kontrolować skład preparatów używanych do znieczulenia ogólnego, zmieniać ciśnienie gazu oraz wyłączyć ostrzeżenia o zbyt wysokiej lub niskiej dawce podawanego środka. W skrajnych przypadkach wspomniane działania mogą doprowadzić do śmierci pacjentów.

Piotr Zielaskiewicz z firmy STORMSHIELD zauważa, że wiele osób żyje w przeświadczeniu, że w razie włamania do sieci ryzykują co najwyżej wyciekiem swoich nagich zdjęć lub danych konta bankowego. Mało kto ma świadomość, że w skrajnych przypadkach taki atak może doprowadzić do śmierci wielu osób. 

Urządzenia IoT – idealna furtka dla cyberprzestępców

Nowa podatność wykryta w urządzeniach GE wyróżnia się tym, że wyjątkowo łatwo wyobrazić sobie jakie niesie ze sobą konsekwencje. Nie jest to jednak odosobniony przypadek. Jak alarmują specjaliści zajmujący się cyberbezpieczeństwem, pracujące w firmowej sieci urządzenia IoT często nie posiadają skutecznych zabezpieczeń przed nieuprawnionym dostępem, przez co stanowią idealny cel ataku dla przestępców. Przykładów nie trzeba szukać daleko – w zeszłym roku doszło do groźnego incydentu, kiedy jedno z przedsiębiorstw pracujących w branży petrochemicznej zostało zainfekowane złośliwym oprogramowaniem za pośrednictwem… ekspresu do kawy. Choć brzmi to absurdalnie, to konsekwencje zdarzenia mogły być bardzo poważne i niewiele brakowało, by na skutek ataku doszło do katastrofy ekologicznej.

Zdaniem Zielaskiewicza, największym zagrożeniem jest brak świadomości wśród administratorów, że celem ataku mogą być nie tylko stacje robocze i serwery, ale również każde inne urządzenie podłączone do sieci – nieważne czy jest to ekspres do kawy, drukarka czy telewizor. 

Jak się chronić?

GE zostało poinformowane o lukach w swoich produktach pod koniec zeszłego roku, jednak nie zdecydowało się na wprowadzenie stosownych aktualizacji. Zdaniem producenta wystarczającym zabezpieczeniem jest… odłączenie urządzeń od szpitalnej sieci. Jak jednak tłumaczy Piotr Zielaskiewicz, jest to rozwiązanie prowizoryczne, które nie rozwiązuje źródła problemu. Tłumaczy on, że nie da się odłączyć od sieci wszystkich urządzeń, które mogą stanowić potencjalne zagrożenie. Zamiast tego należy zrobić wszystko, by zminimalizować potencjalne szkody, których mogą dokonać przestępcy. W przypadku szpitali oznacza to przede wszystkim wyizolowanie kluczowych elementów infrastruktury medycznej i skuteczne zabezpieczenie utworzonej w ten sposób sieci przed niepowołanym dostępem.

Źródło: STORMSHIELD