你相信吗？几乎所有医疗设备都可被黑客入侵

美国知名科技媒体《连线》长期撰稿人吉姆-曾特（Kim Zetter）日前对现代医院医疗设备领域所面临的风险展开了一次详尽的调查。在调查中，曾特发现目前医院所使用的大多数医疗设备都存在着被黑客入侵的风险，而这一风险甚至可能会造成致命的后果。然而，许多医疗机构还是出于这样或那样的原因没有对此给予足够的重视。

以下是文章主要内容：

当我的同事斯科特-埃文（Scott Erven）被获准使用“中西部健康医疗中心”（Midwest health care facilities）大部分医疗器械的时候，他就肯定自己能够从中找到许多安全漏洞。但出乎他意料之外的是，埃文没有想到自己竟然能够找到如此之多的设备漏洞。

在这个为期两年的研究中，埃文和他的团队发现主要被用于为病患按剂量注入诸如吗啡这些药物的“药物输液泵”（drug infusion pumps）可以被远程控制以改变预先设定的输入剂量；具备蓝牙连接功能的心脏电击器可能被远程控制，并给予病患不恰当的电击次数；黑客可以通过入侵医院网络的方式访问诸如X光成像这些隐私数据，或者重置用于存储血液等医疗用冰箱的恒温设定。

除此之外，埃文和他的团队还发现别有用心的人士甚至可以在紧急时刻使医疗设备突然蓝屏、重启甚至是完全删除预先设定好的参数。

“许多医院都没有意识到他们医疗设备所面临的巨大风险，尽管已经有研究证明了这一事实，但医疗机构仍然没有对此给予足够的重视。他们没有对此展开测试，同时也没有重视起自己所面临的风险。”埃文说道。

埃文目前是负责全美 100 家医疗机构设备管理 Essentia Health 公司的信息安全主管，该公司在 2012 年对旗下业务所涉及医疗机构进行了一次全面调查，并允许埃文公布了部分研究数据。在埃文的报告中，他并没有指出具体哪个品牌的医疗设备存在风险，只是表示“现有广泛的医疗设备都存在着一些通用的安全漏洞，其中包括过于简单的用户名和密码，或者极其容易被黑客入侵的用户界面”。

而且，这些所存在漏洞的医疗设备大多是经由医疗机构的内部网络进行连接，但这些所谓的内部网络同时又与互联网相通。因此，黑客完全可以通过钓鱼方式入侵医院员工电脑，进而接入这一内部网络进行破坏。或者，黑客可以通过将笔记本带到医院连接内部网络的方式进行接入。

“这些机构中只有很少一部分设备能够真正抵御攻击，一旦你接入了他们的网络你就可以扫描，并发现绝大多数已连接设备，这非常容易。”埃文补充道。

情况堪忧

据悉，埃文是在将自己的研究和其他安全顾问的研究结论加以整合后才真正意识到这一领域所存在的严重安全问题的。而且，这些问题所覆盖的领域包括了心脏去颤器、药物输液泵、硬件密码等诸多方面。

“我们得到了来自管理层的支持来展开这次针对医疗设备领域的调查，我们几乎测试了所有当前环境下可能使用到的设备。”埃文表示。

在此次调查中，该团队发现医疗机构所广泛使用的嵌入式 web 服务（允许不同设备进行数据共享的一种服务）存在着巨大漏洞，

埃文认为：“许多嵌入式 web 服务允许设备间进行未经授权或者未加密的数据分享，因此我们可以人为改变它们所分享的医疗数据，而患者则可能因此得到错误的诊断或者处方药。医生们非常依赖于这些数据来进行判断，而我们却可以通过这些漏洞擅自修改数据。”

同时，这一团队还发现了存在于存储血液等医疗用冰箱设备中的漏洞。

“这些设备均拥有一个允许用户进行温度设定的网页用户界面，虽然这一设备会在温度超过预设范围的情况下向相关人员自动发送通知邮件提醒，但黑客完全可以通过破解密码的方式关闭这一功能，并擅自更改设定温度。”埃文说道。

而且，类似的入侵还可以被用于改变 CT 设备的照射强度等方面，并有可能对患者身体造成不必要的伤害。

后知后觉

报告显示，越来越多的医疗机构最近才开始意识到自己所面临巨大安全风险。而且，现有医疗设备在设计过程中更多的只是注重于可靠性、性能等方面的考虑，安全因素并没有纳入设计者的主要考虑范围内。

“医疗设备提供商目前没有任何现成的安全规划，他们在将产品推出市场前也不需要进行类似的安全分析。”埃文表示。

去年春天，美国食品及药物管理局（Food and Drug Administration）和国土安全部(Department Of Homeland Security)在得知大约 300 种医疗设备存在密码过于简单的问题后曾向相关医疗机构发出过类似警告，并要求它们对此进行检查。但事实上医疗机构本身能做的并不多，他们更多的只能依赖于设备生产商来解决现有设备的问题，并在未来的医疗设备中内置更加安全的加密机制。

目前，美国食品及药物管理局已经出台了要求医疗设备制造厂商强制检查出厂设备的安全性指导意见，而医疗机构也有权利要求自己的供应商全力履行这一义务。然而，许多供应商认为这样的要求可能很难真正满足，因为这需要他们将自己的系统重新提交给食品及药物管理局进行申报。（汤姆）

本文链接