Seguridad en dispositivos médicos: un asunto pendiente

junio 17, 2013 § Deja un comentario

No podemos negar que los avances médicos experimentados en las últimas décadas han tenido una conexión directa con el, cada vez más extendido, uso de la tecnología en los tratamientos y prevención de enfermedades. Desde hace años venimos usando todo tipo de dispositivos como marcapasos, órganos artificiales y prótesis de todo tipo, algo que ha mejorado notablemente nuestra calidad de vida y que abre todo un mundo de posibilidades según avanza la tecnología.

Hoy en día no es extraño ver prótesis que reaccionan a los estímulos nerviosos del paciente y que incluso permiten controlar dispositivos mecánicos con la mente o recuperar parcialmente la visión a personas ciegas. Este es un campo donde cada año vemos avances importantes y que seguro que nos depara aún muchas sorpresas.

No obstante, si no se tienen en cuenta algunos factores, este uso de la tecnología en el sector médico puede incluir una serie de riesgos que hasta ahora no habrían sido contemplados. Es por ello que la Administración de Alimentos y Medicamentos (FDA) de los Estados Unidos ha lanzado un aviso donde indica que muchos de los dispositivos médicos usados a diario como desfibriladores, pantallas de monitorización de pacientes y dispositivos de anestesia contienen vulnerabilidades a la hora de acceder a ellos que podrían ser aprovechados por un atacante.

Este tipo de vulnerabilidades afectan a unos 300 dispositivos médicos de aproximadamente 40 fabricantes según dos informes que han sido publicados simultáneamente tanto por la FDA como por el Equipo de Respuesta de los Sistemas de Control Industrial (ICS-CERT).

Las agencias estadounidenses FDA (que regula productos farmacéuticos y alimenticios, entre otros) e ICS-CERT (relacionada con la seguridad de sistemas de control industriales y respuesta a incidentes) emitieron comunicados que afirman la presencia de una vulnerabilidad en alrededor de 300 dispositivos médicos, y cerca de 40 fabricantes distintos. La vulnerabilidad, causa principal del alerta ICS-ALERT-13-164-01, consiste en que gran parte de los dispositivos analizados poseen contraseñas por defecto embebidas en el código del controlador del dispositivo. Esto implica que, si bien puede establecerse una nueva contraseña que solamente sea conocida por personal autorizado, un tercero con conocimiento de las contraseñas por defecto podría lograr acceso privilegiado al dispositivo y poner en riesgo su funcionamiento y la integridad física del paciente. Si a esto se le suma otros puntos débiles como la comunicación en texto plano, la falta de autenticación, firmwares sin firma digital y una programación demasiado sencilla, se entiende la necesidad de emitir un alerta para instar a los fabricantes a mejorar estas características cuanto antes.

“Esta vulnerabilidad podría ser aprovechada para cambiar parámetros críticos o modificar el firmware de los dispositivos. ICS-CERT y FDA no tienen consciencia de que esta vulnerabilidad haya sido explotada ni de que algún paciente haya sufrido daños por este tipo de vulnerabilidades”.

Bueno, en la vida real puede que aún no tengamos conocimiento de ataques a ese tipo de dispositivos con la finalidad de causar daño a un paciente, pero las series de ficción ya se han encargado de hacerlos realidad. No tenemos más que echar un ojo a alguna de las series recientes de más éxito como Homeland y veremos cómo alguno de sus guionistas ya ha contemplado la posibilidad de un ataque a distancia y hacer que un marcapasos deje de funcionar (ojo, para quien no haya visto la segunda temporada hay un spoiler de los gordos).

Obviamente, en la práctica no resulta tan sencillo como conocer el número de serie del dispositivo que se desea atacar (y menos realizarlo a través de Internet desde miles de kilómetros de distancia). No obstante, existen precedentes como el que comentamos hace unos meses en este mismo blog, donde un investigador consiguió demostrar cómo podía alterar el funcionamiento de varios marcapasos en un área en concreto.

Tanto FDA como ICS-CERT se encuentran trabajando directamente con los fabricantes de estos dispositivos médicos para mitigar la amenaza. Esta vulnerabilidad afecta a la mayoría de fabricantes de estos dispositivos, según informe de Ars Technica. ICS-CERT sugirió que los hospitales “deberían tomar medidas para limitar el acceso a los dispositivos solamente a usuarios de confianza, especialmente en aquellos dispositivos encargados de mantener con vida a los pacientes o que puedan ser conectados directamente a la red de un hospital”.

Lo que está claro es que los avances tecnológicos aplicados a la medicina deberían contemplar entre sus características básicas la seguridad a la hora de acceder a ellos, evitando así accesos malintencionados que podrían poner en riesgo la vida del paciente.

Fuente: Protegerse

Responder

Por favor, inicia sesión con uno de estos métodos para publicar tu comentario:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

¿Qué es esto?

Actualmente estás leyendo Seguridad en dispositivos médicos: un asunto pendiente en Seguridad Informática.

Meta

A %d blogueros les gusta esto: