Небезопасный дозатор инсулина

Johnson & Johnson уведомляет пациентов об обнаружени прорехи в кибер безопасности одной из своих инсулиновых помп. Хакер, используя, ее может вызвать у пациентов, больных диабетом, передозировку инсулином, хотя возможность такой ситуации оценивается компанией как крайне низкая.

Эксперты в области медицинских устройств утверждают, что это впервые, когда производитель обращается к своим пациентам с предупреждением о кибер уязвимости. Этот вопрос, вслед за сообщениями о возможности подобной уязвимости у кардиостимуляторов и дефибрилляторов вызвал горячее обсуждение в медицинских кругах.

Представители J&J сообщили Reuters, что на данный момент им не известно о попытках кибер атак на инсулиновые помпы Animas OneTouch Ping. Тем не менее компания выступила с предупреждением для своих пользователей и предлагает советы для того что бы решить возникшую проблему.

«Письма счастья»

В понедельник компания разослала электронные письма докторам и 114000 пациентам, использующим ее инсулиновые помпы. В Reuters смогли получить копию текста письма, в нем говорится, что «вероятность несанкционированного доступа к Animas OneTouch Ping крайне мала».

Предупреждение было выпущено спустя месяц после того, как один из продавцов медицинского оборудования и компания, занимающаяся исследованиями в области кибер безопасности, обратились к общественности с заявлением о потенциальной угрозе жизни пациентов, связанной с кибер уязвимостью кардио устройств от St. Jude Medical.

В St. Jude отвергли эти обвинения, но котировки их ценных бумаг пошатнулись, а Управление по санитарному надзору и качеству пищевых продуктов США начало расследование по этому вопросу.

Эта правительственная организация готовится издать формальное наставление, в котором речь будет идти о том, как рынок медицинских устройств должен реагировать на сообщения о кибер уязвимостях. В J&J заявили, что они согласовали вопрос с Управлением, перед тем как обратиться с предупреждением к своим пользователям.

Ранняя версия этого наставления, которая была выпущена в январе для сбора замечаний, призывает производителей медицинских устройств более тесно сотрудничать с компаниями, исследующими проблемы кибер безопасности, для определения шагов по снижению рисков и снабжать пациентов адекватной информацией об уязвимостях, что бы последние могли «принимать информированные решения» по поводу использования устройств.

Управление отказалось прокомментировать ситуацию вокруг инсулиновых помп от J&J, напомним, что это медицинское устройство, которое пациенты носят прикрепленными к своему телу, оно служит для совершения инсулиновых инъекций при помощи катетера.

Безопасный инсулин

Представители J&J сообщили, что они работают над проблемами безопасности совместно с Джеем Радклиффом, сотрудником Rapid7 компании, занимающейся кибер безопасностью. Джей сам является диабетиком, он широко известен в качестве эксперта по взлому медицинских устройств. Именно Джей Радклифф, сообщил в этом апреле о проблемах с безопасностью помпы.

Animas OneTouch Ping продается в комплекте с беспроводным пультом управления, который пациенты могут использовать для того что бы сделать инъекцию дозы инсулина, таким образом им не требуется прямой доступ к самому устройству. Оно обычно носится под одеждой и до него порой неудобно добираться.

Радклифф утверждает, что он определил способы, при помощи которых хакер может симулировать коммуникационный сигнал между пультом и инсулиновой помпой OneTouch Ping. Потенциально таким путем можно заставить устройство производить несанкционированные инъекции. Как рассказал руководитель группы медицинского персонала, диабетического подразделения J&J Брайан Леви, передозировка инсулином может привести к гипогликемии, иначе известной как понижение сахара в крови, в редких случаях это может вызвать угрозу жизни пациента.

По словам Радклиффа, система оказалась уязвимой поскольку эти коммуникации между устройством и пультом управления были не зашифрованы или не заскремблированы, с целью предотвращения несанкционированного доступа к помпе.

Как рассказал нам Леви, техники компании сумели воспроизвести алгоритмы такого незаконного доступа к устройству, найденные Радклиффом, чем подтвердили, что хакеры действительно могут заставить помпу сделать инъекцию инсулина, находясь при этом на дистанции до 25 футов от жертвы. Он отметил что подобную атаку будет трудно осуществить, поскольку она требует специальных технических навыков и наличия сложного оборудования.

«Мы считаем, что система OneTouch Ping безопасна и надежна, мы призываем наших пациентов не отказываться от ее использования», добавил он.

В письме, направленном J&J своим клиентам говорится что, если пользователи помпы обеспокоены ее возможной уязвимостью, они могут предпринять несколько шагов для того чтобы обезопасить себя на случай потенциальной атаки. Эти шаги включают отказ от использования пульта дистанционного управления и программирование помпы на определенный максимальный лимит инсулиновой дозы.

Радклифф выразил уверенность, что пациенты, использующие помпу, будут в безопасность, в случае если последуют советам, изложенным в письме J&J.

«Они помогут обрести спокойствие пациенту, или родителю ребенка, которые используют помпу», добавил он.

Глава отдела информационной безопасности J&J Марена Эллисон заявила, что ее команда приложит все усилия для того что бы в будущем продукты компании не имели подобных багов.

По словам Радклиффа он сумел обнаружить уязвимости только в линейке Animas OneTouch Ping, помпы Animas Vibe оказались более устойчивы.

Представитель Управление по санитарному надзору и качеству пищевых продуктов США Сюзанна Шварц, ответственная за обзор проблем, связанных с багами в медицинских устройствах, сказала в своем заявлении, что она призывает исследователей и производителей к сотрудничеству с целью нахождения проблем, поиска их решений и информирования публики об уязвимостях медицинского оборудования.

«Это позволит всем заинтересованным сторонам найти более удачный подход к проблеме обеспечения безопасности устройств, держа при этом в уме здоровье пациентов», добавила она.

В заявлении Управлении говорится о том, что им не известны случаи, в которых хакеры использовали бы кибер уязвимости медицинских устройств для нанесения вреда пациентам.

В прошлом году представители Управления выступили с рядом предупреждений о кибер багах в инъекционных помпах производства Hospira, компании которая в последствии была выкуплена Pfizer.