漏洞頻發的醫療系統，下一站安全or滅亡？

近日，一款在美國被廣泛應用於醫療機構的APP被爆存在“後門”，任何人只要擁有硬編碼憑證就可以獲取和修改病人（其中包括即將或正在手術的病人）的私密資料，嚴重影響病人安全。

醫療系統安全現狀

近些年來，醫療行業為了尋求更高效的治療以及更完善的醫療體系，開始越來越依賴於網際網路。而這一措施也暴露出了一個非常嚴重的問題——大量在醫院使用的電腦以及醫療裝置正成為非常容易被黑客攻擊的物件。

2015年的一份調查顯示：

目前全球有50億智慧連線裝置在使用，五年後這個數字將上升到250億。其中很大一部分是醫療裝置，如起搏器、藥泵、移動醫療工作臺、家庭監控和私人健身裝置等。單美國就有超過1000萬人在使用起搏器、胰島素泵、人工耳蝸等醫療裝置。

這些醫療裝置中有一些像起搏器一樣只能傳送無線資料，另外一些既可以傳送也可以接收資訊。黑客可以通過控制這些裝置竊取醫療資料，嚴重的還會給患者帶來性命危險。

PIMS系統“後門”

近日，一起醫療系統漏洞曝光，傳出問題的正是MEDHOST公司的圍術期資訊管理系統(PIMS)，該系統旨在幫助臨床團隊做好術前患者資訊管理，但是卻含有一個隱藏的使用者名稱和密碼，雖然該帳號密碼並未對外公開，但一旦被有心人士取得，則形同“後門”漏洞，讓近日將要進行或剛完成手術病人的相關資料，遭受被竄改的威脅。

該漏洞由美國卡內基美隆大學的CERT安全顧問團隊發現，該團隊主要負責發掘漏洞和解決安全問題。漏洞發現的第一時間，CERT團隊便針對這款舊名VPIMS的系統發出安全通報，該公司並已經推出修補軟體，醫療院所使用者只要升級軟體便可解決該問題。

App的使用者通常是醫務人員和醫生，他們可以得到很多有關患者的資料。在MEDHOST的官方網站上，該公司宣稱：這款APP可以協助麻醉師“獲取重危病患的實時資訊，並確保病人病情和狀態保持良好”，以及“獲取病人醫療病史、體檢報告等詳細資訊，並可以將具體資料隨時提供給醫療機構的所有臨床醫生。”

目前還無法得知這款可以為手術醫師、麻醉師與護理師提供實時病人狀態與病歷資訊的系統，已經賣給了多少醫療機構？是否已經銷售到了海外市場？不過，據說MEDHOST公司的客戶有超過1000家醫療機構。

截至目前，Medhost公司的發言人並未對此事作出回應。

頻發的醫療災難

此前，美國醫療系統的網路已多次遭到黑客攻擊。

2009年，美國衛生和人道服務部網站發生過資訊洩露；

2011年，佐治亞州勞倫斯維爾的醫療中心Gwinnett Medical Center因為一種病毒使其電腦系統陷入癱瘓，對所有非急診病人關閉3天；

2014年6月，蒙大拿州公共衛生部的伺服器遭到黑客攻擊，多達100萬人受到影響；

2014年8月，美國第二大上市醫院集團——Community Health遭到黑客攻擊，被竊資訊包括患者的姓名、地址、生日和社會安全號碼等；

2016年2月，位於洛杉磯的好萊塢長老會醫療中心遭到黑客勒索軟體攻擊，支付1.7萬美元后恢復；

2016年2月，兩家德國醫院——盧卡斯醫院、Klinikum Arnsberg醫院受到勒索軟體攻擊；

2016年5月，美國Merge Health care公司，一臺關鍵醫療裝置在心臟手術期間因為軟體所執行的PC上安裝的防毒軟體的定時掃描而崩潰。

結語

雖然，較於金融、軍事以及各大公司網路，醫療行業網路的被黑客攻擊的機率的確少得多，但是，一個明顯的趨勢：醫療行業已經逐漸成為所有系統中最脆弱的一個。

其中一個最重要的原因就是醫療行業對待網路攻擊的懈怠態度。美國約翰霍普金斯大學資訊保安協會的電腦科學家以及技術總監Avi Rubin表示：

“醫療行業系統是我見過漏洞最多的一個系統，如果金融行業在對待網路安全問題跟醫療行業的態度一樣，那麼估計沒人有膽量把錢交給這些機構了。”

隨著醫療設施遭受黑客攻擊的威脅加劇，且攻擊形式日趨多樣性，比如針對性攻擊、勒索軟體攻擊、DDoS攻擊等，醫療裝置廠商和醫院技術團隊應該重視網路安全防範，多關注一些醫療裝置安全問題，避免成為黑客的攻擊目標。
本文轉自d1net（轉載）