روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛تقریبا تمام حمله های سایبری به قصد سرقت پول انجام می شود.گاهی اوقات باگ یک دستگاه می تواند به عواقب جدی تری نسبت به از دست دادن پول منجر شود. اما در اینجا چه رابطه ای بین سلامت انسان و زندگی و حمله های سایبری وجود دارد؟

یک مثال عالی برای اینکه متوجه شوید و ببینید یک دستگاه چگونه می تواند برای زندگی و عضو بدن خطر آفرین باشد را مطرح می کنیم: یک بد افزار با به دست گرفتن کنترل ماشین هنگام رانندگی می تواند منجر به تصادف شود. تجهیزات پزشکی هوشمند هم همینطور در خطر هستند. دستگاه هایی که به منظور سالم نگه داشتن ما طراحی شده اند هم می توانند مخالف این کار را انجام دهند و موجب صدمه ما شوند.

ما می دانیم تا به امروز هیچ استنادی مبنی بر اینکه تجهیزات پزشکی به طور مستقیم سلامت انسان را در خطر قرار داده است نداشته ایم. با این حال، کارشناسان به طور منظم آسیب پذیری دستگاه های پزشکی که شامل باگ هایی است که می تواند به آسیب جدی جسم منجر شود را مورد بررسی قرار می دهند.

از آنجا که سرقت پول و صدمه زدن به جسم افراد دو اقدام متفاوت است ما امیدواریم که هکرها از برداشتن گام هایی که با صدمه زدن به جسم افراد سر و کار دارد به دلایل اخلاقی خودداری کنند. اما به احتمال زیاد خود مجرمان هم به هک دستگاه های پزشکی تمایلی ندارند زیرا که نمی دانند چگونه از چنین حملاتی سود بدست آورند.

در واقع مجرمان اینترنتی بارها و بارها بیمارستان ها را با تروجان ها و نرم افزار های مخرب گسترده ی دیگر مورد حمله قرار دادند به عنوان مثال: در اوایل امسال تعدادی از باج افزارهای آلوده به مراکز پزشکی در ایالات متحده آمریکا از جمله مرکز پزشکی پروتستان هالیوود در لس آنجلس ضربه زدند.

بیمارستان لس آنجلس 17000$ باج پرداخت تا بتواند به فایل های خود دست یابد در عین حال وقتی بیمارستان قلب کانزاس سعی به انجام همان کار کرد، کلاهبرداران فایل های آنان را پس ندادند و به جای آن خواستار پول بیشتری شدند. همان طور که می بینید ما نمی توانیم به درخواست های آنها اعتماد کنیم و آنها را متوقف کنیم زیرا آن ها همیشه از حمله به موسسات پزشکی برای رسیدن به دریافت پول راضی خواهند بود.

تجهیزات پزشکی نیازمند بازرسی و صدور گواهینامه هستند اما تنها تجهیزات پزشکی کافی نیست و باید بر روی فن آوری اتصال کامپیوتر هم نظارتی صورت گیر که این چنین نیست. البته الزامات و شرایط امنیت سایبری توصیه شده است اما این موضوع نادیده گرفته می شود. در نتیجه بیمارستان های زیادی هستند که ابزارهایشان از معایب آشکاری که مدت زیادی است توسط متخصصان کارآمد و شایسته IT شناسایی شده ان، رنج میبرند.

سازمان غذا و داروی آمریکا فروش تجهیزات پزشکی را کنترل و برای آنها گواهینامه صدور می کند. در جهت تلاش برای تحول در امنیت تجهیرات پزشکی متصل، سازمان FDA برای تولید کنندگان و ارائه دهندگان مراقبت های بهداشتی به منظور تامین امنیت بهتر دستگاه های پزشکی راهنمایی های لازم را منتشر کرده است. در آغاز سال 2016 یک طرح از این نوع اطلاعات هم منتشر شد. اما همه ی این اقدامات تنها یک مشاوره هستند و هیچ اجباری برای تامین امنیت دستگاه های پزشکی که برای نجات زندگی انسان ها بسیار ضروری می باشد وجود ندارد.

سهل انگاری موجب مرگ می شود

تولید کنندگان تجهیزات می توانند از کارشناسان امنیت سایبری برای امنیت بیشتر کمک بگیرند اما آن ها اغلب خلاف آن را انجام می دهند، و حتی درخواست کارشناسان برای در اختیار قرار دادن تجهیزات جهت تست را نیز قبول نمی کنند. به همین خاطر کارشناسان مجبور می شوند تجهیزات دست دوم آن ها را بگیرند و بررسی کنند و متوجه چگونگی محافظت آن شوند. برای مثال: بیلی ریوس که محقق امنیتی و بنیان گذار سایت WhiteScope.io  است و به دستگاه های متصل آگاهی کامل را دارد گاهی اوقات به بررسی دستگاه های پزشکی می پردازد.

حدود 2 سال گذشته، ریوس دستگاه پمپ های تزریق Hosoira ( مرکز جهانی دارویی و تجهیزات پزشکی در آمریکا) را که در ده ها هزار از بیمارستان های سراسر جهان پخش شده بود را تست کرد. نتایج نگران کننده بود: پمپ های تزریق مواد به او اجازه تغییر تنظیمات و بالا بردن محدودیت دوز را می داد. در نتیجه مجرمان می توانستند از طریق تزریق دارو، دوز بیشتر یا کمتری را به بدن بیمار وارد کنند. جالب اینجاس که این دستگاه ها بعنوان دستگاه های بدون خطا تبلیغ می شدند!

یکی دیگر از دستگاه های آسیب پذیری که ریوس متوجه آن شد Pyxis SupplyStation بود که ساخت شرکت CareFusion  بود. این سیستم برای سهولت در حسابهای توزیع کنندگان دستگاه های پزشکی می باشد. در سال 2014 ریوس متوجه باگی در سیستم ها شد که به هر کسی اجازه ورود به سیستم را می داد.

در سال 2016 ریوس یکبار دیگر به موضوع Pyxis SupplyStation پرداخت که البته این بار با همکار متخصص امنیتی مایک احمدی همراه بود. این کشف دو نفری بیش از 1400 آسیب پذیری را شامل می شد که نیمی از آن ها بسیار خطرناک بودند. به علت تعداد بالای مشکلات دستگاه ها توسعه دهندگان آن بسیار سرزنش شدند و کارشناسان تخصصی فقط مدل قدیمی این سیستم را آنالیز کرد ه اند و این آسیب پذیری ها هنوز هم خطر آفرین هستند.

موضوع اینجاست که این سیستم ها دیگر عمر مصرفشان تمام شده است و با وجود گستردگی استفاده از آنها، توسعه دهندگانشان دیگر آپدیتی برای آن ارائه نمی دهند. به جای آن CareFusion توصیه کرد که مشتریان نسخه های جدید از تجهیزات را ارتقاء دهند و به سازمان هایی که قصد ارتقاء سیستم ها را نداشتند لیستی به منظور راهکار در مورد چگونگی به حداقل رساندن خطر از سیستم داده شد.

به روز رسانی تجهیزات قدیمی کاری سخت و گران قیمت است اما برای مثال: مایکروسافت پیش از این آپدیت سیستم عامل های نصب شده بر روی دستگاه ها را انجام نمی داد و این سهل انگاری اساسا آن را آسیب پذیر کرده بود. آخرین نسخه از Pyxis SupplyStation بر روی ویندوز 7 و بعد از آن قابل اجرا است و باگ های آن آسیب پذیر نیستند.

لابراتوار کسپرسکی همچنین آزمون ساختاری سایبری برای بیمارستان ها ارائه کرده است. متخصص ما Sergey Lozhkin که برای آزمایش و هک تجهیزات پزشکی که شامل اسکنر تومور بود دعوت شد و تمام موارد ذکر شده در بالا را در آزمایش های خود پیش برد که نشان می دهد مجرمان به آسانی در صورت تمایل می توانند این کار را تکرار کنند.

چه کسی مقصر است و چه کاری باید انجام داد؟

عمر تجهیزات پزشکی بسیار طولانی تر از چرخه عمر گوشی های هوشمند هستند و ده ها سال برای تعویض یک قطعه گران قیمت تجهیزات زمان نیاز است که در کل زمان زیادی نیست. علاوه بر این اگرچه دستگاه های اخیر نسبت به دستگاه های از رده خارج از آسیب پذیری کمتری برخوردارند اما با گذشت زمان(قدیمی شدن دستگاه ها) و بدون پشتیبانی صحیح به دستگاه های پرباگ مثل دستگاه های قدیمی تبدیل می شوند.

مایک احمدی توضیح می دهد:"من فکر می کنم راه معقولانه برای یک تولید کننده ی دستگاه های پزشکی این است هم یک تاریخ انقضا برای تجهیزات پزشکی و هم یک تاریخ انقضا امنیت سایبری دستگاه های خود تعیین کنید.

هک PyxisSupplyStation راه را برای آینده روشن کرد. درست است که توسعه دهندگان این شرکت در ابتدا باگهای کشف شده توسط Rios را نادیده گرفتند اما بعداً تیم مدیریت کمپانی بزرگ Becton Dickinson که این شرکت را خریداری کرد نسبت به موضوع امنیت، دیدگاه متفاوتی داشتند. شاید در آینده شرکتها توجه بیشتری به موضوع جلوگیری از باگهای امنیتی دستگاه ها نسبت به حال حاضر داشته باشند. و شاید هم آزمایشهای آسیب پذیری گسترده تری برای دستگاه های جدیدشان قبل از ورود آنها به بازار در نظر بگیرند.

 منبع: کسپرسکی آنلاین(ایدکو)

*  کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.