Niektóre aparaty do znieczulania ogólnego podatne na cyberataki

Jeśli sprzęt pozostanie dostępny w ramach wewnętrznej sieci szpitala, hakerzy po skutecznym ataku na nią mogliby kontrolować dawki substancji dla pacjenta, a nawet wyłączyć alarm ostrzegający anestezjologów przed niebezpieczeństwem - wskazała zajmująca się cyberbezpieczeństwem firma CyberMDX.

Wada dotyczy maszyn Aespire 7100 i 7900 oraz Aestiva 7100 i 7900, produkowanych przez firmę GE Healthcare. Dyrektor ds. badań CyberMDX Elad Luz wskazał, że przedsiębiorstwa znalazło szpitale wykorzystujące te aparaty na terytorium Stanów Zjednoczonych i w krajach azjatyckich.

Amerykański oddział reagowania na sytuacje kryzysowe związane z cyberbezpieczeństwem (ICS-CERT) w resorcie bezpieczeństwa wewnętrznego USA opublikował memorandum informujące o podatności bezpieczeństwa aparatów.

Analiza BBC News wykazała, że z aparatów tych w Wielkiej Brytanii korzystają niektóre szpitale obsługiwane przez dostawcę usług publicznej służby zdrowa National Health Service (NHS). Organizacja Nottingham City Hospitals potwierdziła, że korzysta z "niewielkiej liczby" zagrożonych maszyn, jednak sa one wycofywane z użytku i nie mają połączenia z internetem ani wewnętrzną siecią szpitala. Oddział NHS Digital ma obecnie oceniać skalę problemu na terytorium kraju.

GE Healthcare wskazało w oświadczeniu, że cyberatak "nie wywołałby zagrożenia klinicznego czy ryzyka dla pacjenta", ponieważ aparaty są nadzorowane przez anestezjologów, którzy wychwyciliby błędne działanie systemu. Spółka nie planuje wypuszczenia poprawki bezpieczeństwa.

Podobnego zdania jest konsultant anestezjologiczny i członek rady Royal College of Anaesthetists dr Helgi Johannsson, według którego zagrożenie dla pacjenta jest "niewiarygodnie małe". "Pacjenci powinni być spokojni - podczas zabiegów ciągle monitorują ich bowiem doświadczeni anestezjolodzy, którzy są w stanie natychmiastowo wyeliminować usterkę urządzenia" - zapewnił ekspert.

Ekspert w dziedzinie cyberbezpieczeństwa Ken Munro zaznaczył, że tego typu sprzęty powinny być wyizolowane z sieci szpitala, jednak w praktyce często jest to zaniedbywane. Dodał, że GE Healthcare powinno choć częściowo odpowiedzieć za powstałą sytuacje.

SZP/PAP