Nueva York (CNN Business) – Los investigadores dicen que han encontrado más de una docena de vulnerabilidades en el software utilizado en los dispositivos médicos y en la maquinaria utilizada en otras industrias que, si son explotadas por un hacker, podrían hacer que los equipos críticos, como los monitores de los pacientes, se bloqueen.
La investigación, compartida en exclusiva con CNN, señala los problemas que han tenido los hospitales y otras instalaciones para mantener actualizado el software sensible mientras continúa la pandemia de coronavirus que absorbe recursos. También es un ejemplo de cómo las agencias federales están trabajando más estrechamente con los investigadores para investigar los fallos de ciberseguridad que podrían afectar a la seguridad de los pacientes.
Según las empresas de ciberseguridad Forescout Technologies y Medigate, que descubrieron el problema, casi 4.000 dispositivos fabricados por diversos proveedores de los sectores sanitario, gubernamental y minorista utilizan el software vulnerable.
No hay pruebas de que piratas informáticos malintencionados se hayan aprovechado de los fallos del software, y hacerlo requeriría un acceso previo a las redes en algunos casos, dijo Forescout. Siemens, la empresa industrial propietaria del software, ha publicado actualizaciones que corrigen las vulnerabilidades.
Siemens colaboró con los funcionarios federales y los investigadores para verificar y solucionar las vulnerabilidades mediante actualizaciones de software.
Según los investigadores, se espera que la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) del Departamento de Seguridad Nacional publique este martes un aviso en el que se anima a los usuarios a actualizar sus sistemas en respuesta al informe.
“Es importante que los fabricantes de dispositivos médicos dispongan de un mecanismo para determinar rápidamente si sus dispositivos están afectados”, declaró a CNN el Dr. Kevin Fu, director en funciones de ciberseguridad de dispositivos médicos en el Centro de Dispositivos y Salud Radiológica de la FDA.
Tras conocer las vulnerabilidades, “empezamos a trabajar con nuestros socios en todos los sectores de infraestructuras críticas potencialmente afectados, incluido el sector sanitario, para informar a los proveedores potencialmente en riesgo de esta vulnerabilidad y proporcionarles orientación para remediarla”, dijo el subdirector ejecutivo de ciberseguridad de CISA, Matt Hartman, en una declaración a CNN.
Las vulnerabilidades afectan a las versiones del sistema operativo en tiempo real Nucleus, un conjunto de software propiedad de Siemens que gestiona los datos en las redes críticas.
Fu dijo que las vulnerabilidades podrían afectar a una serie de dispositivos médicos, pero que depende de la versión del software que se ejecute y de si el dispositivo está conectado a Internet. Además de los monitores de pacientes, algunas máquinas de anestesia, ultrasonidos y rayos X podrían verse afectadas por el fallo de software, según la investigación.
Los investigadores de Forescout probaron las vulnerabilidades del software en un laboratorio. En un caso, enviaron comandos maliciosos a un sistema de automatización de edificios utilizado en los hospitales, desconectándolo y cortando las luces y el sistema de climatización en una habitación de hospital simulada, según el informe de investigación. (Para que esto funcione en la práctica, un hacker tendría que estar ya en la red local del hospital o el dispositivo de automatización del edificio tendría que estar expuesto a Internet).
Elisa Costante, vicepresidenta de investigación de Forescout Technologies, dijo a CNN que su equipo de investigación quería poner de relieve cómo el software antiguo utilizado en industrias clave debe ser examinado de cerca en busca de fallos de seguridad.
“Nuestro mundo inteligente se basa en el software heredado” que suele ser más difícil de mantener, dijo Costante.
“Hoy en día, no tengo pruebas de que esto haya sido explotado [por los hackers] todavía en la naturaleza”, añadió. “Pero, ¿realmente tenemos que esperar a que ocurra algo importante en lugar de crear la conciencia [necesaria para abordar las vulnerabilidades]?”
La FDA ha invertido más en ciberseguridad en los últimos años en un esfuerzo por abordar cómo la digitalización de la atención al paciente abre riesgos a la piratería informática. En junio de 2019, la agencia aconsejó a los pacientes que dejaran de usar una determinada bomba de insulina después de que los investigadores mostraran cómo un hacker podría alterar la configuración de la bomba.