במחקר שארך שנתיים נמצאו אינסוף פרצות אבטחה כמעט בכל המיכשור האלקטרוני המתקדם, שנעשה בו שימוש בבתי החולים. האם גם אתם נתונים לסכנה בפעם הבאה שתאושפזו או תקבלו טיפול בבית חולים?
מקור: Shutterstock
מחקר שנערך על ידי סקוט אירוון, ראש חטיבת המחשוב של Essentia Health, המפעילה כ-100 מתקנים רפואיים כמו מרפאות, בתי חולים ובתי מרקחת, מציג תמונה עגומה למדי של מצב אבטחת המידע בבתי החולים. במסגרת המחקר ניסו לפרוץ אירוון וצוותו למרבית המכשור הרפואי המתקדם שנמצא בשימוש בבתי החולים. תוצאות המחקר הפתיעו את כולם.
פרצות שעלולות לעלות בחיי אדם
הצוות גילה שבאפשרותו להשבית לחלוטין חלק מהמכשור הרפואי, להוציא אותו מכלל פעולה ולמחוק את ההגדרות ממכשירים אחרים, מה שעלול לגרום לאנדרלמוסיה בבתי החולים. בנוסף, הצליחו החוקרים לפרוץ למכשירים המשמשים להחדרת טיפות מורפין, תרופות כימותרפיות ואנטיביוטיקה לגוף המטופל; פריצה המאפשרת לפורץ לשנות את המינון של התרופות; הצוות הצליח גם לפרוץ לדפיברילטורים (מכשירי החייאה המחזירים את הלב לפעולה סדירה על ידי מתן שוקים חשמליים) – ע"י חיבור Bluetooth, וכך לשלוט על פעילותו; בנוסף, הצליח הצוות לפרוץ למכשירי רנטגן ולקבל גישה למאגר הצילומים, לשנות מרחוק את הטמפרטורה שבה מאוחסנות מנות דם יקרות (מה שיכול להוביל להשמדת המנות), ולחדור לתיקים הרפואיים האישיים, מה שאיפשר להם לשנות אבחנות רפואיות, תרופות שנרשמו ועוד. פרצה נוספת שהתגלתה אף אפשרה לצוות לכבות מערכות ניתוח רובוטיות (בהן המנתח מפעיל בקרי שליטה שמבצעים את הניתוח עצמו). רק חלק קטן מהמכשירים הרפואיים שנבדקו, היו מאובטחים כראוי בעזרת פיירוול חזק.
אירוון לא חשף את זהות יצרניות המכשירים, משום שהצוותים עדיין מנסים לתקן את פרצות האבטחה, אולם הוא כן חשף את העובדה (הלא-מפתיעה לטעמנו) שלרוב פרצות האבטחה היה מכנה משותף רחב ופשוט: המכשירים אפשרו גישה ללא סיסמה, או אפשרו גישה עם סיסמאות חלשות דוגמת admin ו-123456; בנוסף, הממשקים והשרתים, היו פשוטים ואפשרו לפורץ השתלטות מהירה. למרות שהצוות שפרץ למכשור הרפואי פעל מתוך מסדרונות בתי החולים, אירוון לא שלל השתלטויות מרחוק על המערכות על ידי האקרים, לאחר שאלו יפרצו למכשירי המחשב של הצוות הרפואי וישתמשו בטכניקות כמו פישינג או סוסים טרויאניים.
הממצאים הפתיעו את בתי החולים
בתי החולים לא היו מודעים לחומרת הבעיה שהעלו החוקרים. הסיבה, על פי אירווין, טמונה בכך שהמכשור הרפואי נבדק מבחינת יעילות, בטיחות החולה ואמינות המכשיר, אבל עמידותו בפני פריצות אינה נבדקת. כתוצאה מכך הוציאו אזהרות מיוחדות הן מנהל התרופות והמזון האמריקאי והן המשרד להגנת העורף וקראו לבתי החולים לבחון מחדש את כל המכשור הרפואי המתקדם שברשותן.
פוטנציאל החדירה למכשור הרפואי המתקדם מעלה חששות רבים: החל מסוגיות של אבטחת מידע וחדירה לרשות הפרט; דרך מעשים פליליים וכלה במעשי טרור; בייחוד במדינה כמו שלנו, פגיעה בבתי חולים, בהם מאושפזים מאות אנשים בכל רגע נתון, עלולה לקרוץ למדינות יריבות או ארגוני טרור.
