Hace unos años, en un episodio de la serie Homeland, uno de los protagonistas logró hackear el marcapasos del vicepresidente de los EE.UU. ¿Realidad o ficción? Pues la verdad es que este tema no está tan alejado de la realidad porque no es la primera vez (y seguramente tampoco la última) en la que hablamos de problemas de seguridad en dispositivos médicos. Desde que en 2012 el investigador Barnaby Jack expusiera los problemas de seguridad de algunos de estos dispositivos en una conferencia, el descubrimiento de nuevas vulnerabilidades es algo que ya no debería sorprendernos.
Vulnerabilidad en dispositivos Medtronic
Si en anteriores investigaciones los marcapasos afectados fueron de las marcas St. Jude y Abbot (que absorbió a la primera hace unos años), en esta ocasión la empresa afectada es Medtronic. Según una información reciente proporcionada por el Departamento de Seguridad Nacional de los Estados Unidos estos dispositivos serían vulnerables a ataques debido a que el protocolo de comunicación utilizado para comunicarse con el marcapasos no dispone de ningún tipo de cifrado ni realiza ningún procedimiento de autenticación.
Estaríamos hablando de dos vulnerabilidades que permitirían a un atacante, que estuviese dentro del rango de alcance del dispositivo, interceptar la comunicación que el marcapasos realiza por radiofrecuencia con la consola que Medtronic proporciona para tal efecto. La explotación de este problema de seguridad podría derivar en la posibilidad de leer y escribir en cualquier ubicación de la memoria del dispositivo y, en consecuencia, en modificar su comportamiento.
Las dos vulnerabilidades han recibido una puntuación de 9.3 y 6.5 sobre 10 posibles según el cálculo establecido por el CVSS, lo que demuestra su nivel crítico. Además, la prueba de concepto realizada por investigadores de Clever Security desveló que no se necesitaban grandes conocimientos para que un atacante pueda aprovechar estos problemas de seguridad.
Respuesta de Medtronic
Como era de esperar, el fabricante de estos dispositivos médicos ha anunciado que ha tomado medias y controles adicionales a los ya existentes para intentar evitar la explotación de estas vulnerabilidades en el protocolo de conexión. Sin embargo, los investigadores responsables de descubrir estos fallos ya han indicado que estas mejoras solo sirven para tratar de detectar posibles ataques y que, sin actualizaciones del firmware, estos ataques no se pueden prevenir.
Ante estas afirmaciones, Medtronic publicó un comunicado en el que confirmaban que, hasta el momento, no habían detectado ningún ataque de este tipo y que además existe un riesgo mínimo de que se produzcan en un futuro. Según este comunicado, un atacante debería tener un conocimiento exhaustivo de los dispositivos médicos, telemetría inalámbrica y electro fisiología para poder explotar estos agujeros de seguridad.
También se indica que, para que un ataque tuviera éxito se debería conocer el modelo implantado en el paciente, el tipo de cambios que podrían causarle daño, qué apartados de la configuración tendrían que ser modificados, y qué comandos y cuando se deberían de introducir en la telemetría para realizar estos cambios.
A pesar de todo, según la versión del fabricante, no parece que sea una tarea sencilla conseguir atacar a uno de estos dispositivos. Sin embargo, todo lo indicado en el comunicado de Medtronic hace referencia a medidas de seguridad por oscuridad, es decir, que asume que los atacantes desconocen la mayoría de detalles necesarios para conseguir que su ataque tenga éxito. Por desgracia, si algo nos ha demostrado la experiencia es que este concepto no es precisamente efectivo y solo hace falta un atacante motivado para que todas estas supuestas medidas de seguridad caigan.
Recomendaciones de seguridad
Ante esta situación, es comprensible que los usuarios de los dispositivos médicos afectados estén preocupados y se pregunten que medidas deberían adoptar. Por ese motivo, el Departamento de Seguridad Nacional de los Estados Unidos ha publicado una serie de recomendaciones que indicamos a continuación:
- Se debe mantener un buen control físico sobre las consolas de monitorización domésticas y programadores utilizados para controlar y modificar el estado del marcapasos.
- Solo se deben utilizar consolas de monitorización, programadores y dispositivos implantables obtenidos directamente desde un proveedor médico autorizado o representante de Medtronic para asegurar la integridad del sistema.
- No se deben conectar dispositivos no autorizadas a las consolas de monitorización ni a los programadores a través de puertos USB y otras conexiones físicas.
- Solo se deben utilizar los programadores para conectarse e interactuar con los dispositivos implantados en hospitales y entornos médicos controlados.
- Las consolas de monitorización doméstica solo deben usarse en entornos privados como nuestro hogar.
- Es importante informar de cualquier comportamiento anómalo en relación con este tipo de dispositivos al proveedor de servicios sanitarios o a un representante de Medtronic.
En cualquier caso, con la experiencia de vulnerabilidades existentes desde hace años, los fabricantes de dispositivos médicos como marcapasos o bombas de insulina, harían bien en tomar buena nota de los problemas existentes para ofrecer una solución de seguridad eficaz. Aunque hoy este tipo de ataques suenen a algo improbable, la realidad nos demuestra que no son tan extraños como nos quieren hacer creer y que, por tanto, se han de tomar cartas en el asunto antes de que alguien los sufra.
