צ'ק פוינט: פרצנו למכשיר אולטרסאונד בבי"ח

פרטי מטופלים בהישג ידם של האקרים: ענקית אבטחת המידע צ'ק פוינט חשפה היום (ה') פרצת אבטחה בתוכנה המשמשת מכונת אולטרסאונד בבית חולים מרכזי בישראל. מבחינה שביצעו החוקרים מטעם צ'ק פוינט עלה כי המערכת המשמשת את מכשיר האולטרסאונד היא ווינדוס 2000 הישנה, שמגיעה עם חולשות אבטחה מוכרות רבות. התוכנה לא מקבלת עדכוני אבטחה אוטומטיים וכפועל יוצא מותירה את מכונת האולטרסאונד – והמידע של המטופלים המאוחסן בה – חשופים להתקפות. "מכאן, הדרך לפריצה לתוכנה והגעה למידע הרגיש שיש עליה – היתה קצרה מאוד", מסרו בחברה.

התקפות סייבר על בתי חולים ומוסדות רפואיים מדווחות על בסיס שבועי ברחבי העולם. לפני כשבועיים אירעה התקפת כופרה על בית חולים קרדיולוגי במלבורן שבאוסטרליה, שם המידע הרפואי הוצפן על ידי האקרים שדרשו תשלום בתמורה לשחרורו.

בשנה האחרונה היו כמה התקפות סייבר על בתי חולים, כשביולי האחרון נחשפו פרטים אישיים ורגישים של יותר מ-1.4 מיליון מטופלים בסינגפור, בהם ראש הממשלה הסינגפורי. במאי 2017 אירעה התקפת WannaCry אשר הביאה לביטול 20 אלף תורים במרפאות הרפואה הציבורית של אנגליה, כשעלויות התיקונים והפיצויים עקב התקיפה נאמדו ב-150 מיליון ליש"ט. גם במקרה זה, שימוש בחולשה של מערכת ווינדוס אפשרה את המתקפה.

דו"ח של ה-Journal of the American Medical Association מספטמבר 2018 חשף שפריצות למוסדות רפואיים זינקו משמעותית מאז 2010 והיו אחת מהקבוצות המותקפות ביותר בעולם - לעיתים עד כדי 70% מתקיפות הסייבר המדווחות באזורים שונים. מחקר אחר גילה שלמעלה מ-80% מהתקפות הכופרה בארה"ב בשנת 2017 היו על מוסדות רפואיים.

הגעה לפרטי מטופלים על-ידי ההאקרים(מתוך סרטון הפריצה של צ'ק פוינט)

בצ'ק פוינט ציינו כי "ב'שוק השחור' של פושעי הסייבר קיים ביקוש גבוה במיוחד למידע רפואי גנוב, ומחירו יכול להיות עד פי 20 ממידע כלכלי ופיננסי. המידע האישי הרב שמוחזק במערכות הבריאות, ועל גבי המכשירים הרפואיים, הופכים את המוסדות הללו למטרות מבוקשות לפושעי סייבר".

"המכשירים הרפואיים מתוכנתים, מטבעם, לאגור מידע רב ולאפשר בשיתוף שלו עם שורה ארוכה של מכשירים ואפליקציות. כתוצאה מכך, היכולת לעדכן בעדכוני אבטחה חדשים אינו פשוט. בנוסף, התוכנות המשמשות את המכשירים הללו מבוססות על התוכנות הקיימות בעת יצירת המכונה, וחלקן מכילות חולשות מובנות שלא תוקנו בשל העובדה שהתוכנות ישנות מאוד. כך נוצר מצב שבו מידע שאמור להיות מוצפן ומוגן קיים בתוכנות שניתן לפרוץ אליהן וקשה מאוד (ולעיתים בלתי אפשרי) לעדכן אותן", נמסר מהחברה.

ההאקרים יכולים להתקין כופרה על מכונת האולטרסאונד(מתוך סרטון הפריצה של צ'ק פוינט)

על כן, פריצה למכונה דוגמת האולטרסאונד מאפשרת לפורצים להניח את ידיהם על מידע אישי רגיש, להחליף את התוצאות שמקבלים המטופלים בתוצאות אחרות, להשפיע על ההמלצות לטיפול ולעיתים להצפין את המידע כך שהרופאים והמטופלים לא יוכלו לגשת אליו. במקרים שונים, מדובר בחיים ומוות באופן המילולי ביותר.

עודד ואנונו, ראש מחלקת חולשת מוצרים בצ'ק פוינט, שביצעה את המחקר, הסביר: "ניצול של אחת החולשות המוכרות בתוכנה אפשר לחוקרים לחדור למכונה, להשיג את כלל הקבצים המצויים עליה (תוצאות של בדיקות האולטראסאונד המסווגות בהתאם לשמות ומספרי המטופלים), ולמעשה לעשות בהן כרצונם. המשמעות המיידית היא כניסה לקבצים האישיים, להחזיק ביכולת לשנות את שמות הקבצים ואת המידע שקיים בהם וכן להצפין את כלל המידע בדרישה לקבלת כופר. הקלות שבה ניתן להגיע למידע אישי ומשמעותי כל כך מטרידה מאוד".