DHS segnala la scoperta di vulnerabilità in alcuni dispositivi usati dai cardiopatici

• Sfide scientifiche

Il Dipartimento della sicurezza interna degli Stati Uniti d’America (DHS) ha pubblicato un avviso in cui spiega che alcuni modelli di defibrillatori cardiaci impiantabili (ICD) soffrono di importanti vulnerabilità di sicurezza.
Il report pubblicato a questo indirizzo fa i nomi dei dispositivi a marchio Medtronic che ad oggi risultano insicuri: non si tratta dei comuni pace maker ma di impianti che vengono utilizzati nei pazienti affetti da particolari cardiopatie e nei soggetti a rischio di morte improvvisa.

Secondo il DHS, ad essere vulnerabile è il protocollo Conexus utilizzato per la telemetria e lo scambio di dati con apparecchiature mediche di programmazione e controllo poste nelle immediate vicinanze.

Un aggressore, nel raggio di circa 8 metri, può riuscire a interferire con gli strumenti di telemetria Medtronic, accedere a dati sensibili del paziente e riprogrammare arbitrariamente il dispositivo ICD con evidenti rischi per la salute del soggetto.

Pete Morgan, uno dei ricercatori che hanno scoperto e segnalato le vulnerabilità di sicurezza nei dispositivi ICD, spiega che – fortunatamente – le comunicazioni sono possibili (seppur in forma non cifrata e senza autenticazione) solo in circostanze ben precise ovvero dopo che l’impianto è stato posto in modalità listening. Tale operazione può essere attivata solo muovendo una bacchetta induttiva sul petto del soggetto (azione solitamente effettuata dal cardiologo durante una visita).

Medtronic ha aggiunto che non basta che il dispositivo ICD sia in modalità listening e che un aggressore (dotato di appositi strumenti) sia fisicamente nelle vicinanze del paziente. È infatti necessario che il malintenzionato conosca anche l’esatto modello dell’ICD oltre che i comandi specifici da adoperare.
Il produttore sta comunque lavorando su una serie di aggiornamenti di sicurezza utili per la correzione delle vulnerabilità appena venute a galla.

Sebbene complesse da sfruttare all’atto pratico, lacune di sicurezza come quelle segnalate dal DHS evidenziano come sia importante, in futuro, implementare meccanismi di autenticazione e protezione dei flussi di dati attraverso l’utilizzo della crittografia anche nei dispositivi di dimensioni più compatte e chiamati ad assolvere compiti ben specifici.