Indopererede hjertestartere fra Medtronic er sårbare over for livsfarlige hacks

25. marts 2019 kl. 12:1013
Indopererede hjertestartere fra Medtronic er sårbare over for livsfarlige hacks
Illustration: Medtronic.
Hjerteimplantater fra Medtronic er omfattet af alvorlige sikkerhedshuller – implantatet kan potentielt hackes og bruges til at fremprovokere et hjerteanfald.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Alvorlige sårbarheder i 16 forskellige modeller af hjerteimplantater gør det muligt for en angriber at få fuld kontrol med implantatet – så meget kontrol, at det er muligt at forårsage et hjerteanfald.

Det er konklusionen i en advarsel fra det amerikanske Homeland Security. Implantaterne fra Medtronic har ikke engang indbygget den mest fundamentale sikkerhed. Millioner af brugere formodes derfor at være sårbare over for sikkerhedshullerne.

Det skriver The Hacker News.

En 'cardioverter defibrilator' er en slags pacemaker, men typisk er den lidt større og har mulighed for også at fungere som defibrillator, også kendt som en hjertestarter, hvis hjertet går helt i stå.

Artiklen fortsætter efter annoncen

Selve implantatet sidder oftest under nøglebenet, mens kabler med elektroder er opereret ind til hjertet. Implantatet skal kunne betjenes, uden at man kan nå ind til det rent fysisk, hvilket sker ved hjælp af radiobølger.

Styringen sker med et apparat, som Medtronic også udvikler og sælger. Det giver blandt andet mulighed for, at sundhedspersonalet kan justere på implantatet og få data ud om driften, uden at man behøver foretage endnu en operation.

Implantatet kan tilgås med en afstand på op til seks meter. Desværre er denne kontakt mellem omverden og implantat bare ikke særlig sikker.

Det var sikkerhedsforskere fra Clever Security, som opdagede sikkerhedshullerne. Deres undersøgelser viste fejl, som ifølge det amerikanske Homeland Security kan udnyttes af hackere.

Artiklen fortsætter efter annoncen

»Succeesfuld udnyttelse af disse svagheder kan gøre det muligt for en angriber, der er er tæt på, at få adgang til et af de omfattede produkter og at påvirke, generere, modificere eller opsnappe radiofrekvens (RF) kommunikationen for Medtronics privatejede Conexus telemetry-system. Det kan potentielt påvirke produktets funktionalitet eller/og give adgang til følsom, transmitteret data,« advarer den amerikanske sikkerhedstjeneste

It-sikkerhedsmessen Infosecurity Denmark 2019 byder på mere end 110 seminarer og cases, 25 udvalgte keynotes og 80 udstillere. To dage med masser af faglig viden og netværk d. 1. og 2. maj i Øksnehallen i København.

Konferenceprogrammet dækker compliance, cybercrime, IoT, nye teknologier som AI og blockchain samt data og cloud og giver et unikt indblik i de nyeste it-sikkerhedsmæssige udfordringer på et højt fagligt niveau.

Du bliver også opdateret om både de nyeste tekniske landvindinger fra spydspidsforskere og får indblik i aktuelle trusselsbilleder fra nogle af verdens bedste rådgivere.

Læs mere og tilmeld dig

Læs mere om Version2 Data & Cloud Expo, der afholdes sammen med Infosecurity Denmark

Manglende sikkerhed

Ifølge en advarsel udsendt af Medtronic er over 20 produkter omfattet af sikkerhedshullerne, heraf 16 implantater. Desuden er instrumenter til at aflæse og programmere implantaterne også omfattet. De kører alle med en protokol kaldet Conexus Radio Frequency Telemetry Protocol, og det er her, fejlen ligger.

I implantaterne er der eksempelvis intet tjek for, om der er manipuleret med data, og systemet laver heller ikke nogen for for kontrol af, om apparatet, som hjerteimplantatet modtager ordrer fra, er godkendt eller autentisk. Eller sagt med andre ord: Hjertestarteren har stort set ingen sikkerhed overhovedet. Dermed er det muligt at sende data til implantatet, som kan slå patienten ihjel.

Artiklen fortsætter efter annoncen

Undersøgelsen viser også, at der heller ikke er kryptering på de indopererede implantater, og dermed er det muligt for en angriber, som fysisk er tæt på implantatet, at opsnappe data fra det. Det kræver blot, at Conexus telemetri-systemet er aktiveret.

Så vidt vides er sikkerhedsbristen endnu ikke blevet udnyttet, og ifølge Medtronic er virksomhedens pacemakere ikke omfattet af sikkerhedshullet, ligesom deres CareLink Express-monitorer og CareLink Encore-indstillingsværktøjer heller ikke er det. Virksomheden arbejder på at sikre de mange Conexus-aparater.

13 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
13
27. marts 2019 kl. 10:19

Jeg har svært ved at se at 90% hhv. 95% af medicinsk udstyr skulle udgøre en insignifikant andel

Hvis der bag denne påstand er en forudsætning om at udstyr der får en Special 510k approval ikke er fuldt ud testet - dvs dokumentationskravene er mere lempelige, så er tallene muligvis ikke helt forkerte, men der er ikke nogen reference til hvor denne påstand kommer fra andet end "FDA". Måden du (og DR journalisten) beskriver situationen antyder derimod, at udstyret markedsføres uden nogensinde at have været klinisk testet hvilket ikke er korrekt. En Special 510k approval forudsætter at udstyret allerede er godkendt og at der kun er tale om modifikationer af et eksisterende produkt.

Hvis du har en reel interesse for fakta i sagen, så kig her https://www.fda.gov/RegulatoryInformation/Guidances/ucm080187.htm

12
27. marts 2019 kl. 00:28

Jeg har svært ved at se at 90% hhv. 95% af medicinsk udstyr skulle udgøre en insignifikant andel...

11
26. marts 2019 kl. 22:15

den er svær at bortforklare

Hvem prøver at bortforklare det? Virksomheden er netop ret åben omkring problemet og beskriver fejlen i deres Product Security bulletin med vejledning til patienter om hvordan de skal forholde sig.

10
26. marts 2019 kl. 21:25

Hos Medtronic er der stor fokus på produktsikkerhed og deres sikkerhedsfolk er altid stærkt repræsenteret ved diverse sikkerhedskonferencer i branchen og højt respekteret.

Artiklen siger ellers, at det hele flød. [qoute] I implantaterne er der eksempelvis intet tjek for, om der er manipuleret med data, og systemet laver heller ikke nogen for for kontrol af, om apparatet, som hjerteimplantatet modtager ordrer fra, er godkendt eller autentisk. Eller sagt med andre ord: Hjertestarteren har stort set ingen sikkerhed overhovedet. Dermed er det muligt at sende data til implantatet, som kan slå patienten ihjel. [/qoute] Det er svært at formulere en ros til deres sikkerhedsfolk, der dækker dét. Men jeg skal prøve: Måske skulle de beskæftige sig mere med firmaets produkter og kultur end med konferencer. Måske er de enkelte smuttere oven på en samling ordentlige produkter, men den er svær at bortforklare.

9
26. marts 2019 kl. 16:34

derfor må man formode, at sikkerheden er blevet ganske ignoreret her

Din formodning er helt forkert! Medtronic var nogle af de første i hele verden, sammen med Siemens og Philips, til åbent at inviterer Independent Security Researchers til samarbejde. Hos Medtronic er der stor fokus på produktsikkerhed og deres sikkerhedsfolk er altid stærkt repræsenteret ved diverse sikkerhedskonferencer i branchen og højt respekteret.

8
26. marts 2019 kl. 12:47

Nikolai kan du ikke lige dokumentere din påstand om at der intet er om talen om at implantater ikke bliver testet?

Nej det kan jeg ikke, men jeg kan godt for den del af branchen jeg selv arbejder i, nemlig måleudstyr til medicinsk brug (altså medical devices og ikke implantater eller farma). For at opnå tilladelse til at markedsføre og sælge produkter i USA skal man i henhold til 21 CFR 807 have en såkaldt 510k godkendelse, hvilket man ikke får hvis man ikke kan dokumentere, at produktet lever op til en lang række standarder, herunder IEC 13485, ICE 62304, ICE 14971 mf. Det samme gælder i Europa for CE mærkningen. Selvfølgelig er der brodne kar og nogen få virksomheder snyder. Det er der i alle brancher. Selvfølgelig sker også fejl hos seriøse producenter af medico udstyr, hvorunder jeg bestemt regner Medtronic. Det jeg opponerer imod er, at enkeltsager i pressen (og i dette forum) udråbes som repræsentative for hele branchen, endda også beslægtede brancher. Du hæfter dig selv ved implantater her, men i dit link refereres til 'medicinsk udstyr' generelt. Fordi Boing har en fejl i deres 837 Max software er det ikke det samme som at at hvad der kan flyve er farligt.

Kan du eventuelt dokumentere, at der ikke er krav til formel klinisk test (dokumentation) for implantater generelt?

7
26. marts 2019 kl. 10:27

Det har også været beskrevet hvordan der er kontorer der har specialiseret sig i at hjælpe firmaerne med at godkende medicinsk udstyr, herunder implantater, helt uden test, mod betaling.

6
26. marts 2019 kl. 10:24

Nikolai kan du ikke lige dokumentere din påstand om at der intet er om talen om at implantater ikke bliver testet?

DR skriver f.eks.:

61 underlivsnet men ingen af dem testet
I stedet for forsøg på forhånd bliver mange af produkterne godkendt via det, der kaldes ækvivalens. Det vil sige, at producenten oplyser, at produktet ligner et tidligere produkt meget og derfor bør godkendes uden egne test på patienter på forhånd. Men sagen er, at også de tidligere produkter ofte heller ikke er testet på patienter.</p>
<p>Det ansete britiske sundhedsmedie British Medical Journal har undersøgt, hvordan 61 underlivsnet – som det Kate Kristmundsson fik indopereret – er blevet godkendt. Ingen af dem var testet på patienter, før de kom på markedet.</p>
<p>I researchen til ”The Implant Files” har tyske journalister fået aktindsigt i en mail, der antyder, at 90 procent af det farligste medicinske udstyr i EU aldrig har været testet på patienter, før det kom på markedet. Mailen er sendt fra en tysk repræsentant i Bruxelles, og i den står, at myndighederne i EU ikke har nogen klinisk data på 90 procent af de farligste typer medicinsk udstyr, klasse III.</p>
<p>I USA er tallet for medicinsk udstyr, som testes på patienter før det kommer på markedet, under fem procent ifølge den amerikanske sundhedsmyndighed, FDA.

https://www.dr.dk/nyheder/indland/tusindvis-af-patienter-skadet-af-medicinsk-udstyr-der-ikke-er-testet-paa-forhaand

5
26. marts 2019 kl. 09:59

Hvad mener du med det?

Hacking af pacemakere (det er så ikke pacemakere her) har været demonstreret siden i hvert fald 2012. Så at der kan være problemer med indopereret elektronisk udstyr bør være kendt og det bør ikke være så nemt i dag. Og derfor må man formode, at sikkerheden er blevet ganske ignoreret her.

Det er måske mindre sjovt at slå tilfældige ofre omkuld i bussen (jeg ved det ikke, jeg er ikke så pervers), men det vil uden tvivl være "spændende" at kunne få halvgamle politikere til at falde om for rullende kamera. Eller give dem et insulinchok. Og "teknikken" skal jo lige afprøves først. F.eks. i bussen.

4
26. marts 2019 kl. 09:50

Amerikanske St Jude Medical, nu ejet af Abbott, fik i 2017 et warning letter af FDA i forbindelse med sårbarheder i nogle af deres pacemaker produkter, men ellers er der mig bekendt relativt få sager hvor det er IT sikkerhed i produkterne der er årsag til at de trækkes væk fra markedet, hvilket lige i dette tilfælde med pacemakere jo også er ret besværligt :-) Nu er det jo nemt for pressen og andre at råbe "skandale" og "grotesk" hvergang der viser sig fejl og mangler i i medico udstyr. Faktum er at der er langt imellem skandalerne sammenlignet med hvormeget udstyr der bliver udviklet og frigivet hvert år. At TV2 så hævder at medicinsk udstyr ikke bliver testet før det frigives er decideret latterligt. De jounalister aner tydeligvis ikke hvad de taler om. Boneloc sagen er nok undtagelsen.

3
26. marts 2019 kl. 08:37

Der har været adskillige skandalesager med implantater (ex underlivsnet, boneloc og meget andet). Hvor der er grotesk strenge krav til formel dokumentation af software og hardware der styrer medicin produktion industrielt er der til gengæld INGEN krav til dokumentation af sikkerhed ved implantater, man skal bare påstå at det er like to like, altså at det nye ligner et tilsvarende allerede godkendt implantat.

Det er helt grotesk!

"Medicinsk udstyr bliver ikke testet, før det indopereres i patienter"Http://nyheder.tv2.dk/samfund/2018-11-25-medicinsk-udstyr-bliver-ikke-testet-foer-det-indopereres-i-patienter

"Skandalerne om medicinsk udstyr – her er nogle af de største" https://medwatch.dk/secure/Medico___Rehab/article11030592.ece

2
25. marts 2019 kl. 22:05

Det jo ikke nogen nyhed...det er endelig ret gammelt...

Hvad mener du med det? Medtronics pressemeddelelse vedrørende Conexus er fra 21 marts 2019, altså mindre end 5 dage gammel. Og nej, der er ingen offentlig instans i Danmark, der tester medicinsk udstyr inden det tages i brug for denne type fejl. Godkendelse af udstyr til medicinsk brug baseres på kvalitetskontrol og auditering af de virksomheder der fremstiller udstyret, baseret på en lang række internationale standarder, som virksomhederne skal leve op til.

1
25. marts 2019 kl. 17:33

Det jo ikke nogen nyhed...det er endelig ret gammelt... Og jeg forstår ikke hvordan vi i et land som Danmark kan have så lidt styre på det...er der virkelig ingen der tester dem inden de kommer ind i landet.. Eller bliver de bare testet på patienterne?.. Jeg synes personligt selv at det er til grin....