Prácticamente no hay ámbito en el sector de la asistencia médica que no esté adoptando cada vez más el uso de la tecnología. Desde el acceso inalámbrico en tiempo real a los parámetros de salud propios a través de relojes inteligentes y wearables hasta dispositivos implantados dentro de su cuerpo, la tecnología sigue avanzando. ¿Pero podemos asegurarlo todo?

Hace algunos años atrás, en la conferencia Black Hat, vimos cómo lograban comprometer una bomba de insulina. Si en ese dispositivo la mayor parte del software era genérico, los reguladores dicen que el integrador es responsable por la seguridad en todos los niveles, incluido el sistema operativo (SO) subyacente por más que tenga un buen historial de seguridad. En otras palabras: los fabricantes de dispositivos son quienes asumen la responsabilidad, independientemente de la tecnología que utilicen.

Si bien eso pone el peso de la seguridad al fabricante, también aumenta considerablemente el costo y la complejidad de llevar un dispositivo al mercado. Como resultado, mientras que las presiones del mercado fuerzan a las empresas a producir dispositivos de forma más rápida, el camino por delante parece complicado y caro. Además, puede sin saberlo poner en riesgo la seguridad de los pacientes.

¿Y qué ocurre con los parches y quién es el responsable de ellos? Según la Administración de Alimentos y Medicamentos de los Estados Unidos (FDA, por sus siglas en inglés), el fabricante se encarga de eso también. Dado que se espera que algunos dispositivos médicos estén disponibles durante muchos años, eso implica durante mucho tiempo estar pagando por soporte.

¿Pero qué hace que los dispositivos sean vulnerables y qué probabilidades hay de que sean comprometidos? Dado que en Estados Unidos se celebra el Mes de la Concientización sobre Ciberseguridad y que el tema de la semana anterior estuvo enfocado en la seguridad de dispositivos conectados a Internet en el sector de la salud, analizamos cinco resquicios que pueden ser aprovechados por atacantes para lograr vulnerar este tipo de dispositivos.

Lectura recomendada: Hospitales: uno de los principales blancos de ciberataques

  • Bluetooth

Muchos dispositivos médicos integran monitoreo e interacción a través de Bluetooth, una tecnología que tiene un largo historial de vulnerabilidades. Y aunque puede haber parches, es difícil determinar la tasa de adopción real y el historial de actualizaciones en este sector. Mientras tanto, si la medición de azúcar en sangre es controlada por un atacante, usted podría correr un peligro físico real si intenta ajustar los niveles de glucosa en sangre basándose en lecturas falsas.

  • Windows

Muchos hospitales tienen computadoras que utilizan para controlar equipos médicos que ejecutan versiones de Windows antiguas y sin soporte debido a demoras en las actualizaciones del fabricante que realizó la integración. Un fabricante no puede simplemente impulsar el último parche que lanza Windows antes de realizar pruebas exhaustivas en las unidades que fabrica para ver eventuales problemas de integración, por lo que la verificación de parches puede ser complicada. Esto escenario ofrece ventajas a los atacantes, ya que pueden utilizar exploitsque van surgiendo alrededor de una vulnerabilidad y utilizarlos durante un tiempo antes de que el fabricante pueda reaccionar.

  • La nube

Muchos dispositivos implantados se comunican con los médicos clínicos a través de la conectividad en la nube y de esta manera facilitan actualizaciones del estado de salud y desencadenan eventos en los que los pacientes pueden necesitar atención. Como vimos este año en Black Hat y en DEFCON, la seguridad en la nube puede no ser extraordinaria. Es poco probable que el paciente conozca las posibles vulnerabilidades en los dispositivos, pero los cibercriminales son rápidos en aprovechar los exploits conocidos y utilizarlos en sus ataques con bastante rapidez. En algunos casos, los pacientes han optado que sus marcapasos no reciban comunicaciones externas citando temores de que un atacante pueda comprometerlos, pero la adopción de la nube para dispositivos implantados tiene fuertes vientos de cola que impulsan una mayor adopción.

  • Ethernet

Muchos dispositivos médicos se conectan a través de Ethernet a redes TCP/IP médicas, pero sería muy difícil para muchos médicos y pacientes notar que las conexiones existentes han sido intervenidas mediante un tap de red. Al exfiltrar datos a través de enlaces inalámbricos embebidos en estos tap, los atacantes podrían espiar el tráfico y crear exploits. De esta manera, los atacantes solo necesitan acceso físico por única vez y, debido a su bajo costo, no necesariamente tienen que regresar para recuperar el dispositivo si lo consideran peligroso.

  • Wireless keyboards

Desde hace algún tiempo los keyloggers han sido el estándar para obtener registros de las pulsaciones en los teclados inalámbricos haciéndose pasar por falsos cargadores USB conectados a la corriente, mientras que de forma simultánea espían en busca de señales que exfiltran a través de tarjetas inalámbricas 4G industriales. Esto permite la captura de datos confidenciales, como las contraseñas que han sido escritas, pero también puede permitir que los atacantes intenten descargar e instalar backdoors remotos al lograr anular los avisos de advertencia de los productos de seguridad.

Conclusión

La seguridad ha estado ha estado pisándole los talones al campo de la medicina durante años. Y aunque pueden estar realizando importantes avances, muchos dispositivos médicos han estado funcionado bien durante varios de esos años, provocando la percepción de una menor necesidad de actuar. Será un gran desafío “modernizar la flota” y llevará algunos años. A pesar de eso, la gente de la medicina ha comenzado a acercarse a los procesos y obtener conocimientos técnicos del personal para comenzar a mover la aguja. Mientras tanto, podría ser conveniente conocer cualquier vulnerabilidad que pueda afectar a dispositivos médicos, especialmente si están involucrados de manera crítica en la atención médica, como sucede en muchos casos.