הסיכון הכרוך בפריצה ל (IOT (Internet of Things עולה דרגה: פרצות אבטחה בקוצבי לב ובמשאבות עירוי עלולות להפוך את המכשירים למלכודות מוות.
מכשירים המקושרים לאינטרנט, במה שמכונה “Internet of Things” ובקיצור IoT, משמשים יעד מבוקש להתקפות של האקרים ועלולים לחשוף את המשתמשים בהם לגניבת זהות ולהפצת פרטים. על פי מחקר של חברת At&T, בשנים 2014 עד 2016 נרשמה עלייה של 458% בביצוע סריקות לגילוי פרצות במכשירי IoT.
לא נעים לגלות שהבובה החביבה על ילדיך מקליטה את דבריהם ושולחת את המידע לחברה בארה”ב, שמשתמשת בנתונים האלו; אבל הרבה יותר בעייתי לגלות שקוצב הלב או משאבת העירוי שלך נפרצו.
בסוף אוגוסט 2017 הורה מנהל המזון והתרופות האמריקאי (FDA) על החזרה מהשוק (recall) של קרוב לחצי מיליון קוצבי לב מתוצרת חברת Abott, שנמכרו תחת המותג St Jude Medical. המדובר במכשירים הנשלטים מרחוק באמצעות האינטרנט, ומיועדים לחולים שקצב פעימות לבם הוא איטי או לא סדיר. כמובן, במקרה זה לא מדובר בהסרה ומשלוח חזרה ליצרן – פעולה העלולה לגרום לסכנת חיים, אלא בהתקנת קושחה שתבוצע על ידי הצוות הרפואי ואמורה לתקן את פרצת האבטחה. ניצול של פרצה כזו עלול לגרום לשיבושים רבים ומסוכנים, מהאצת הצריכה של הסוללות ועד לשיבוש קצב פעימות הלב של המטופל, וכמובן יכול לשמש לסחיטות ואיומים. קודם לכן, במאי 2017, פורסם מחקר של חברת האבטחה White Scope שלפיו ניתן לפרוץ למכשירים רפואיים באמצעות ציוד “זמין באופן מסחרי”, שעלותו בין 15 ל-3,000 דולר.
בתחילת ספטמבר 2017 פורסמה הודעה על מכשיר רפואי קריטי נוסף שיש בו פרצת אבטחה: משאבת העירוי האלחוטית Medfusion® 4000 מתוצרת Smiths Medical. חברת אבטחה בלתי תלויה מצאה במשאבה זו, שנעשה בה שימוש ביחידות טיפול נמרץ, מעקב הריון ועוד, שמונה חולשות אבטחה. החולשה החמורה ביותר שהתגלתה הייתה שימוש בפרטי משתמש קבועים מראש (hard-coded credentials), שמאפשרים התחברות אוטומטית אם לא בוצע שינוי בתצורת ברירת המחדל.
הפתרון המלא – רק בינואר 2018
חולשות האבטחה שהתגלו משפיעות על גרסאות הקושחה האחרונות של המשאבה, וחברת Smiths Medical הודיעה כי עדכון הקושחה ישוחרר לשוק רק בינואר 2018. עד אז ממליצים מומחי האבטחה לבתי החולים לנקוט אמצעים שהיו צריכים להינקט מלכתחילה: הגדרת סיסמאות חזקות, יצירת רשת אלחוטית מבודדת וייעודית עבור המשאבות, ויצירת גיבויים סדירים לכל הנתונים.