加密
如今，窃取受害人资金几乎成为了所有网络攻击的目标。由于许多各式各样的医疗设备均具有联网功能，因此一旦不幸感染病毒其结果将比金钱损失更为严重。甚至可能危及病人的健康和生命安全？
联网汽车就是个很好的例子，一旦遭黑客入侵显然会对车内人员的人身安全造成严重威胁。恶意方一旦成功控制自动驾驶汽车，就能轻松人为造成交通事故。智能医疗设备同样也存在风险。设计这些设备的初衷是为了让我们保持身体健康，但有时也会被用于相反的目的。但迄今为止，还未出现一例因医疗设备受感染直接危害病人健康的案例出现。然而，安全专家们还是会定期从医疗设备中找到新的漏洞，包括：可能对病人造成严重身体伤害的bug。
由于窃取资金和伤害病人身体需要两种完全不同的操作，因此我们只能寄希望于网络黑客能出于道德原因放弃针对后者的攻击。但不法分子很可能还未大规模转向医疗设备攻击，只是因为他们不清楚该如何从中获利。
事实上，网络犯罪分子已利用木马病毒和其它广泛传播的恶意软件攻击了多家医院。例如，今年年初，勒索软件病毒攻击了美国的数家医疗中心，其中即包括位于洛杉矶的好莱坞长老会医疗中心。
这所洛杉矶医院最终支付了17万美元赎金才恢复了被锁住的医疗记录。然而，堪萨斯心脏医院却远没有那么好运，尽管同样支付了赎金，但却未能恢复自己的医疗文件，并被索要更多。如你所见，我们根本不可能用道德来约束不法分子：只要能来块钱，他们是很乐意攻击医疗机构的。
尽管医疗设备出厂时都经过必要的检测和认证—但也只针对医疗设备本身，而非联网的计算机技术。尽管有关方面建议需达到网络安全要求才能出厂，但这方面依然由制造商自行把控。结果是，大量医院设备存在明显的漏洞，且早已为IT专家所知。
美国食品和药物管理局（FDA）负责监管医疗设备的销售和认证。为了适应不断发展的联网环境，FDA公布了有关”制造商和卫生保健提供商如何更好保护医疗设备”指导方针。2016年年初，文件草案正式公布。但所有措施均为建议，而非强制性要求保护对拯救病人生命至关重要的医疗设备。
致命的疏忽
设备制造商完全可以向网络安全专家寻求帮助，但却常常事与愿违，拒绝接受对设备的安全测试。因此，安全专家们不得不自掏腰包购买二手设备，才能检测出一些医疗设备的安全保护能力。例如，对联网设备了如指掌的 Billy Rios也偶尔会对医疗设备检测一番。
大约两年前，Rios对Hospira输液泵（畅销全球数万家医院）进行了测试。结果令人担忧：药物注射泵可以随意改变设置并提高剂量限度。因此，不法分子完全能让病人注射更多或更少的剂量。具有讽刺意味的是，在广告宣传中这些设备还被描述为有防错功能。Rios发现的另一款存在漏洞的设备是由CareFusion生产的Pyxis SupplyStation。这些设备能为病毒调配药物且便于病历记录。2014年，Rios发现了一个能让任何潜入系统的bug。
2016年，Rios再一次将测试目标转向了Pyxis SupplyStation，一同参与的还有安全专家Mike Ahmadi。这两人一共在其中发现了超过1400个漏洞，其中一半被认为极具危险性。尽管第三方开发者该为此负责，且安全专家分析的只是一款型号较早的Pyxis SupplyStation，但这些漏洞依然会造成严重影响。
生病将产生双重危险：医疗设备容易遭受黑客攻击
问题在于，这些安全解决方案早已过期，尽管使用广泛，但开发者却并未提供任何更新补丁。相反，CareFusion公司却建议用户升级至新的设备版本。那些对”升级”兴趣不大的组织却收到了不少安全小贴士：即如何最大降低这些受感染系统的风险。
因为升级旧设备难度高，且成本不菲。例如，微软就放弃了安装在这系列设备上的操作系统，因而留下了致命的漏洞。运行Win 7或更高版的最新Pyxis SupplyStation已解决了这些bug。
此外，卡巴斯基实验室还为众多医院提供网络结构测试：我们的安全专家Sergey Lozhkin受邀参加试验并黑客入侵了包括层析图像扫描器等医疗设备。
当然，上述的案例是试验而已—只是为了说明犯罪分子也能轻松做到—并不未造成任何实际危害！
谁该为此负责，我们又该如何防范呢？
医疗设备的服务期限远远超过智能手机的使用寿命。鉴于医疗设备的昂贵价格，即便使用几十年也不算长。此外，尽管最新的设备暂时漏洞较少，但随着时间的推移，一旦缺乏适当技术支持也将会面临同样的安全问题。
Mike Ahmadi解释道：”我认为医疗设备制造商不仅该对医疗设备的使用期限作出规定，还应包括设备网络安全的使用寿命。”
当然，黑客入侵Pyxis SupplyStation也有积极的一面。真相是，开发者们忽略了Rios发现的首批bug，但随后CareFusion公司即被Becton Dickinson收购，其管理层显然对网络安全有着不同的观点。可能在不久的将来，公司会将更多的精力放在解决bug上。因此，未来一旦有新设备生产出来，很可能会进行大量漏洞测试后再投放市场。
提示