סכנה: ניתן לפרוץ בסייבר למכשירי אולטראסאונד בישראל

בעוד שטכנולוגיית האולטראסאונד עשתה כברת דרך משמעותית לאורך השנים, והיא מאפשרת לרופאים ולמטופלים לקבל מידע רב חשיבות בצורה מפורטת ואמינה – הרי שהגנת הסייבר של התוכנות המשמשות את המכונות לוקה בחסר.

על פי חוקרי צ'ק פוינט, רבים מהמכשירים הללו משתמשים באותן התוכנות שהיו עדכניות לזמן שבו התקבל האישור להשתמש במכונה – ושכיום הן ממש ישנות ולא מאובטחות.

רומן זאיקין, דיקלה ברדה ואיל סלומון – חוקרי הגנת סייבר בצ'ק פוינט, הצליחו לפרוץ למכשיר האולטראסאונד. הם המחישו את הסכנות הקיימות מפריצה לתוכנה המשמשת את מכשיר האולטראסאונד, על ידי בחינה של מכשיר שכזה הנמצא באחד מבתי החולים המרכזיים בישראל.

הבחינה העלתה שמערכת ההפעלה המשמשת את המכשיר הינה Windows 2000, וקבעו כי "מדובר בפלטפורמה ישנה, שקיימות בה חולשות אבטחה מוכרות רבות". בנוסף, הם מצאו כי התוכנה לא מקבלת עדכוני אבטחה אוטומטיים ועל כן מותירה את המכונה – והמידע שיש בה – חשופים להתקפות. מכאן, הדרך לפריצה לתוכנה והגעה למידע הרגיש שיש עליה – הייתה קצרה מאד.

לדברי עודד ואנונו, ראש מחלקת חולשת מוצרים, שביצעה את המחקר, "ניצול של אחת החולשות המוכרות בתוכנה אפשר לחוקרים לחדור למכונה, להשיג את כלל הקבצים המצויים עליה – תוצאות של בדיקות האולטראסאונד המסווגות בהתאם לשמות ומספרי המטופלים. כך, למעשה ניתן לעשות בהן כרצונם. המשמעות המיידית היא כניסה לקבצים האישיים, להחזיק ביכולת לשנות את שמות הקבצים ואת המידע שקיים בהם וכן להצפין את כלל המידע בדרישה לקבלת כופר. הקלות שבה ניתן להגיע למידע אישי ומשמעותי כל כך – מטרידה מאד: ניתן להחליף את התוצאות שמקבלים המטופלים בתוצאות אחרות, להשפיע על ההמלצות לטיפול ולעיתים להצפין את המידע – כך שהרופאים והמטופלים לא יוכלו לגשת אליו".

נחשפו פרטים אישיים רגישים של יותר מ-1.4 מיליון מטופלים

מתקפות סייבר על בתי חולים ומוסדות רפואיים, ציינו בצ'ק פוינט, מדווחות על בסיס שבועי ברחבי העולם. הדוגמה האחרונה היתה מתקפת כופרה על בית חולים קרדיולוגי במלבורן, אוסטרליה, בחודש שעבר. המידע הרפואי שם הוצפן על ידי האקרים שדרשו תשלום בתמורה לשחרורו.

התקפות משמעויות נוספות בשנה האחרונה היו ביולי האחרון על שירותי הבריאות של סינגפור – שם נחשפו פרטים אישיים רגישים של יותר מ-1.4 מיליון מטופלים, כולל ראש הממשלה. בנוסף, במאי 2017 אירעה התקפת WannaCry אשר הביאה לביטול 20 אלף תורים במרפאות הרפואה הציבורית של בריטניה ולעלויות תיקונים ופיצויים שנאמדו ב-150 מיליון ליש"ט. גם כאן, שימוש בחולשה של מערכת windows איפשר את המתקפה.

דו"ח של Journal of the American Medical Association, שפורסם בספטמבר 2018, חשף שפריצות למוסדות רפואיים זינקו משמעותית מאז 2010 והיו אחת מהקבוצות המותקפות ביותר בעולם – לעיתים עד כדי 70% מתקיפות הסייבר המדווחות באזורים שונים. מחקר אחר גילה שיותר מ-80% מהתקפות הכופרה בארה"ב בשנת 2017 היו על מוסדות אלו. ב-"שוק השחור" של פושעי הסייבר קיים ביקוש גבוה במיוחד למידע רפואי גנוב, ומחירו יכול להאמיר עד לפי 20 ממידע כלכלי ופיננסי.

"המידע האישי הרב שמוחזק במערכות הבריאות, ועל גבי המכשירים הרפואיים", סיכמו בצ'ק פוינט, "הופך את המוסדות הללו למטרות מבוקשות לפושעי סייבר. למרות זאת, מכון פונמון גילה שרק 17% מיצרני המכשור הרפואי נוקטים בצעדים ממשיים כדי למנוע התקפות על המכונות הללו. חלק ממערכות התוכנה מכילות חולשות מובנות שלא תוקנו, בשל העובדה שהן ישנות מאד. כך, מידע שאמור להיות מוצפן ומוגן – קיים בתוכנות שניתן לפרוץ אליהן וקשה מאד – ולעיתים בלתי אפשרי – לעדכן אותן".