心惊肉跳!黑客入侵医疗装备严重效果!

心惊肉跳!黑客入侵医疗装备严重效果!

 前年,Billy Rios从加州飞到罗切斯特,去天下较大的综合性医疗机构mayo Clinic举行一项特殊事情.Rios 是”清静”黑客,即主顾会让他自动入侵自己的网络系统.这些主顾有五角大楼、波音、洛克希德马丁和一些需要保密的客户。。Rios研究的工具含有武器系统、国家电网、军用飞机等公用事业的系统，，，进而向政府说明他们怎样对系统举行误差攻击的。。而此次的MayoClinic使命却寻常的多，，，他感受这份寻常的事情，，，自己用一周的时间就可以解决了。。

 但当其抵达罗切斯特之后，，，他发明与会的职员尽是一经熟悉的偕行。。Mayo Clinc这次召集了一个黑客界的全明星阵容，，，其中不乏电脑能手、网络清静公司的资深工程师以及在黑客大会上的台甫远扬的黑客。。这些研究职员分为几个小组，，，医院方面将四十种医疗装备放在聚会室中。。竭尽全力的破损，，，并使出一切可能的攻击手段来入侵这些装备---这就是黑客们接受到的下令。。

 近些年的医疗装备也都进入了“互联网+”的趋势，，，每个装备都和互联网举行了对接，，，它们运行细密的操作系统。。与汽车或家具在内的物联网的其他部分一样，，，与效劳器相连，，，可以远程控制它们。。这对Rios来讲，，，有一点是显着的，，，医院方面确实有太多理由担心有人会对此举行恶意攻击。。

 据Rios讲：“短短的几天中，，，每一台装备都似乎餐桌上的食物一样都被黑客轻松的吃掉了，，，情形很是的槽糕。。”而差别的小组没有去深入的研究已刊行的误差，，，这在一定水平上他们发了许多相同的问题——丝毫没有防御能力的操作系统，，，无法更改的简陋密码等。。 

在完成MayoClinic诊所的事情后不久，，，Rios订购一台医疗装备——金狮贵宾会公司制造的一台输液泵。。他没有刻意针对某个特定的制造商或产品型号睁开视察；；；他只是恰巧在亚马逊上看到了售价约莫为99美圆的装备。。在没有获得某种允许的状态下购置这样一台装备是正当的吗？？？？他感应疑心。。

输液泵通常是机械或电子的控制装置的医疗器械，，，它通过作用于输液导管抵达控制输液速率的目的。。常用于需要严酷控制输液量和药量的情形，，，如在应用升压药物，，，抗心律失常药药物，，，婴幼儿静脉输液或静脉麻醉时。。

Rios把输液泵衔接到互联网上后发明，，，对装备阻止远程控制并在触摸屏上“按下”按钮，，，就像真的有人站在这台装备前操作一样，，，能够将仪器设定为把整瓶药水都输入病人体内。。他说，，，若是有医生或护士站在仪器眼前，，，或允许以发明装备被远程操控，，，可以在整瓶药水滴绝后中止这种输入，，，但若是由护士在集中监测站担当照看输液泵，，，就不会注重到这点。。

Rios是近几年来针对医疗装备领域睁开自力视察的一小群人士之一，，，他们应用自己发明的平安破绽来引发弘大影响。。杰克是一名钻研职员，，，也是糖尿病患者，，，他现身2011年的年度黑客大会，，，向观众展现了他怎样支配自己的胰岛素泵，，，让它释放出可能致命的剂量。。第二年，，，来自新西兰的黑客贾克斯在澳大利亚举行的聚会上展现了他怎样远程入侵一台手术无影灯，，，让它数次自动的熄灭。。2013年，，，在原定加入黑帽手艺大会的前一周，，，杰克死于药物过量。。他原来许愿将在此次聚会上宣布一个系统，，，这个系统可以将任何经由无线衔接的胰岛素泵准确定位在90米的半径规模内，，，然后改动这些装备所治理的胰岛素剂量。。

2014年春，，，Rios将他的发明打成定稿，，，发送给美国疆土平安手下属的工业控制系统网络应急响应小组。。他列出了自己发明的弱点，，，并建议Hospira阻止进一步剖析以回复两个问题：在Hospira的其他装备中能否也保存同样的懦弱性问题？？？？这种破绽可能给病人带来什么样的潜在效果？？？？美国国安局转而联络了美国食物药品监视治理局(FDA)，，，后者把这份报告转给了Hospira。。几个月后，，，Rios没有收到任何回应。。Rios称：“FDA似乎要比及真的有人被杀死才会说，，，‘好吧，，，是的，，，这是我们需求担心的问题。。’”

这种攻击行为令装备制造商和医院治理者感应恼恨，，，他们说，，，这种饰演出来的黑客行为让公众由于恐慌而对那些利远大于弊的科技敬而远之。。在2014年的行业论坛上，，，某家医院的信息手艺治理人士强烈鞭笞Rios和其他钻研职员，，，称他们在没有任何一例患者危险事故可归罪于医疗装备网络平安涣散的状态下就歇斯底里地煽风燃烧。。美国同盟医疗系统的无线通讯司理汤普斯称：“我很谢谢你们想要加入进来，，，可是坦率说，，，你们在《国民问询》周刊上拟出的问题带来的只要问题，，，而没有任何作用。。”尚有一次，，，在一个有许多业内治理人士和联邦官员旁听的电话聚会上，，，装备供应商们冲着Rios高声呼叱。。 

Rios说：“他们一切的医疗装备都名存实亡，，，一切的系统都名存实亡。。一切的临床应用也都名存实亡——但没人在乎。。这很荒唐，，，对吧？？？？任何试图证实这种现状合理的人都不是生涯在理想天下中，，，他们生涯在幻梦中。。” 

前年秋天，，，总部位于加州圣马特奥的奥亭平安公司的剖析师起源在60多家医院装置追踪医疗装备黑客行为的软件。。奥亭建设了特定医疗装备的虚拟副本，，，然后阻止装置，，，就似乎它们在网上并且在运转一样。。对黑客来说，，，由奥亭安排的虚拟CT扫描仪的操作系统看起来和真的没有区别。。可是，，，虚拟装备能够让奥亭监控黑客们在整个医院网络的运动。。6个月后，，，奥亭得出结论，，，一切医院内里都有一经被歹意软件熏染过的医疗装备。。    

    奥亭的总司理卡特称，，，加入这项钻研的医院都依赖装备制造商来维护仪器的平安。。这种效劳是未必期的，，，并且是应对性的而不是预防性的。。赖特称：“医疗装备不会在遭受攻击时向医疗保健提供商发出正告，，，它们基本没有自我维护才华。。”赖特以前曾是美国军方的信息平安官员。。

在多起案例中，，，黑客们对医院员工施行“鱼叉式网络垂纶”攻击，，，诱使他们掀开看起来像是来自已知发件人的电子邮件，，，当他们中计之后，，，病毒就会熏染医院的电脑。。在一个案例中，，，黑客浸透到一个护士站的电脑里，，，从那里起源将歹意软件散播到整个网络，，，较终溜进放射性仪器、血气剖析仪和其他装备。。许多仪器运转的是廉价、老旧的操作系统，，，如XP，，，以至微软2000。。医院的防病毒维护系统很快对电脑阻止了杀毒洗濯，，，但这些医疗装备就没有这么好的防御辖档退。。

当黑客侵入了某台装备后，，，他们就匿伏在那里，，，将这台仪器作为永世基地，，，从那里侦测整个医院的网络。。赖特称，，，他们的目的是窃取小我私家医疗数据。。

医疗档案经常包括信誉卡信息，，，尚有社会包管号码、地点、华诞、家族关系和医疗病史——这些信息能够用来建设虚伪身份与信贷额度，，，从而施行包管诈骗以至诓骗讹诈。。单简单个信誉卡号在网络黑市上的售价经常不逾越10美圆；；；而医疗档案可以卖出10倍于它的价钱。。关于黑客来说，，，他们在乎的就是转售价值。。 

奥亭的剖析师在医院里设置的诱捕装备能够让他们观察那些试图经由受熏染装备将医疗纪录偷出医院的黑客。。赖特称，，，这种追踪把他们带到中亚的一台效劳器，，，这台效劳器被以为是受控于一个污名远扬的俄罗斯黑帮团伙。。总的说来，，，他们会从中亚的这台控制效劳器登录，，，侵入一台电下手术床；；；然后，，，他们会从这台仪器进入一个数据源，，，把数据纪录拖回到电下手术床，，，然后偷走。。赖特称，，，之以是可以判断黑客是经由医疗装备来窃取数据，，，是由于在一台电下手术床中发明了本不应在那里泛起的病人数据。。 

除了这种下令与控制歹意软件能够令数据纪录失贼外，，，奥亭还发明了一种诱骗软件，，，它能限制电脑用户运用文档，，，这样黑客就会请求电脑用户付款，，，本领重新取得运用权。。钻研职员发明，，，没有证据标明黑客真的在这些仪器上装置了讹诈软件，，，但仅仅是这种软件的保存就足以令人担心。。 

医院对网络入侵行为通俗都秘而不宣。。即即是这样，，，照旧会有一些关于歹意软件带来破损的零星报道泛起。。2011年，，，佐治亚州劳伦斯维尔的医疗中心对一切非急诊病人关闭3天，，，由于一种病毒使其电脑系统堕入瘫痪。。美国和澳大利亚的医生办公室曾报告过一些网络立功行为的案例，，，在这些案例中，，，黑客对病人数据库加密并讨取赎金。。审计公司毕马威在2015年8月宣布的一项视察展现，，，81%的医疗信息手艺治理人士曾体现，，，他们事情场合的电脑系统在已往两年内一经遭受过网络攻击。。