350.000 marcapasos necesitan un parche de seguridad

Actualidadvulnerabilidad

La Administración de Alimentos y Medicamentos de EEUU (FDA) aprobó el mes pasado una actualización del firmware para los marcapasos fabricados por Abbott (anteriormente St Jude Medical) que eran vulnerables a ciberataques y que corrían el peligro de sufrir una pérdida súbita de batería.

Unos 350.000 pacientes están afectados, a los que la FDA recomienda que actualicen el firmware “en su próxima visita programada o cuando consideren apropiado según las preferencias del paciente y del médico”.

Los marcapasos son unos pequeños dispositivos que ayudan a controlar los latidos irregulares. Las vulnerabilidades de ciberseguridad se detectaron en los desfibriladores cardioversores implantables (IDC) y en los dispositivos para terapia de resincronización cardíaca (CRT-Ds) de radio frecuencia (RF-).

Los problemas con los dispositivos de St Jude Medical ya vienen de largo. En septiembre de 2016, la empresa demandó a la firma de seguridad en el Internet de las Cosas (IoT) MedSec por difamación después de publicar lo que St Jude consideraba una información falsa sobre bugs en sus equipos.

En enero de 2017, cinco meses después de que la FDA y el Departamento de Seguridad Nacional de los EEUU (DHS) iniciaran pruebas sobre las reclamaciones de que los marcapasos y la tecnología de monitorización cardíaca de St Jude Medical eran vulnerables a ataques, expertos de Bishop Fox confirmaron la validez de los datos de MedSec. La empresa a regañadientes retiró las demandas judiciales y buscó soluciones a las vulnerabilidades.

Las actualizaciones de enero eran para el sistema de monitoreo remoto Merlin, que se emplea en marcapasos implantados y desfibriladores.

En ese momento, el experto en criptografía Matthew Green, describía el escenario de las vulnerabilidades en marcapasos como una pesadilla. Escribió una serie de tuits sobre el tema, que incluían los siguientes mensajes:

El resumen del problema es que los comandos críticos: shocks, actualizaciones, etc. solo deberían proceder de un programador del hospital 5/

Desafortunadamente SJM no ha utilizado autenticación fuerte. Resultado: cualquier dispositivo que conozca el protocolo (incluyendo dispositivos domésticos) pueden enviarlos 6/

Y aún peor, pueden enviar estos (potencialmente peligrosos) comandos vía RF desde una distancia. Sin dejar rastro. 7/

Concretamente, los dispositivos emplean una autenticación RSA de 24-bit, dijo: “No, no es un error”. Aparte de la pobre autenticación, St Jude también incluía un código fijo de 3-byte de anulación, a lo que Green dijo:

Estoy llorando

Hasta la fecha, no hay informes sobre pacientes que han sido dañados por estas vulnerabilidades, tanto por los sistemas Merlin como por los ICDs y CRT-Ds que aparecen en el último aviso de seguridad. A continuación una lista de estos dispositivos:

  • Current
  • Promote
  • Fortify
  • Fortify Assura
  • Quadra Assura
  • Quadra Assura MP
  • Unify
  • Unify Assura
  • Unify Quadra
  • Promote Quadra
  • Ellipse

Afortunadamente, la actualización no conlleva cirugía a corazón abierto, aunque si requiere una visita en persona al médico. No puede ser realizada en casa vía Merlin.net. La actualización del firmware lleva 3 minutos, durante los que el marcapasos funcionara en modo de respaldo a 67 latidos por minuto.

Abbbott dijo que con cualquier actualización de firmware existe una “muy pequeña” posibilidad de riesgo de fallo técnico. Basado en la experiencia que tienen de actualizaciones previas de firmware como la de agosto de 2017 y la similitud en los procesos de actualización, Abbott dijo que instalar el firmware actualizado en los ICDs y CRT-Ds podía potencialmente producir los siguientes fallos:

  • Malestar debido a la configuración de respaldo
  • Cargar la versión anterior debido a una actualización incompleta
  • Imposibilidad de tratar una taquicardia/fibrilación ventricular mientras se esté en el modo de respaldo
  • El dispositivo permanezca en el modo de respaldo debido a una actualización fallida
  • Perdida de la configuración actual del dispositivo o de los datos de diagnóstico

La FDA dijo que nada malo ocurrió a los pacientes en la actualización de firmware de agosto de 2017. Alrededor del 0,62% de los dispositivos sufrieron una actualización incompleta y permanecieron en el modo de respaldo, pero en todos los caso los dispositivos volvieron a la versión anterior o se actualizaron satisfactoriamente después de que interviniera el servicio técnico.

El FDA dice que una actualización en el programa debería solucionar estos casos anecdóticos. También, un pequeño porcentaje (0,14%) de los pacientes se quejaron de malestar mientras el dispositivo estaba en modo de respaldo.

 

 

Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:

Leave a Reply

Your email address will not be published.