米国食品医薬品局（FDA）は、医療専門家に対し、ペースメーカーやその他の心臓インプラントを監視するために使用する機器の一部に注意するよう勧告している。
監視機関が今週警告を発したのは、アイルランドの医療機器メーカー、メドトロニックが自社の機器の一部をソフトウェア更新サービスから締め出すと発表したことを受けてのことだ。つまり、ハードウェアがサーバーから新しいコードをダウンロードしてインストールできなくなるということだ。
直感に反するように思えるかもしれませんが、これまでローカル環境でしか悪用できないと考えられていた同社の技術におけるセキュリティ脆弱性が、実際にはソフトウェア更新ネットワーク経由で悪用される可能性があることが判明しました。ハッカーが機器のインターネット接続を傍受・改ざんすることで、悪意のあるアップデートがメドトロニックの機器にプッシュされる可能性がありました。機器は正規のメドトロニック製ファームウェアをダウンロードしていることを検証できないため、メドトロニックはこれらのアップデートを遮断しました。
最新のパッチを入手するには、メドトロニックの技術者がUSB経由で手動でソフトウェアをインストールする必要があります。FDAとメドトロニックは、患者や医師に直ちに危険が及ぶことはないと述べています。
セキュリティ上のバグはインプラント自体に存在するのではなく、メドトロニックの「プログラマー」に存在する。医師や医療従事者は、手術中や手術後にこのプログラマーを患者のインプラントに接続し、電池残量をチェックしたり、心拍リズムを監視したり、設定を調整したりできる。
10台のペースメーカーに致命的な欠陥があり、生命の否定攻撃につながる
続きを読む
Carelink 2090とCarelink Encore 2091の2つのモデルは、攻撃者によってファームウェアが改ざんされ、プログラマーによるインプラントの設定方法が変更される可能性がありました。メドトロニック社は、これらの脆弱性はローカルで悪用されるだけでなく、デバイスにリモートアクセスできる攻撃者によっても悪用される可能性があると考えています。
「プログラマーは仮想プライベートネットワーク（VPN）を使ってメドトロニック（ソフトウェア配布ネットワーク）SDNとのインターネット接続を確立しているが、この接続で確認された脆弱性は、プログラマーがアップデートをダウンロードする前にVPNに接続していることを確認していないことだ」とFDAは説明した。
「このサイバーセキュリティの脆弱性に対処し、患者の安全性を向上させるため、FDAは2018年10月5日、メドトロニックのネットワークに対するアップデートを承認しました。このアップデートにより、既存のプログラマーがメドトロニックSDNにアクセスするのを意図的にブロックすることになります。」
その結果、メドトロニックは両モデルのSDNへのアクセスを遮断したと発表しました。つまり、病院や診療所がファームウェアのアップデートを入手する唯一の方法は、メドトロニックの技術者による現場への訪問のみとなります。FDAは、その間、デバイスは通常通り動作を継続し、直ちに措置を講じる必要はないと述べています。
つまり、誰のペースメーカーもすぐにハッキングされることはないし、医師や患者も心配する必要はありませんが、プログラマーの更新は少々面倒です。®
