¿Puede un hacker cambiar tu anestesia?

El Servicio Nacional de Salud británico (NHS por sus siglas en inglés) ha encendido todas las luces de alarma al descubrir que algunas de las máquinas que utiliza para administrar la anestesia presentan brechas de seguridad que podrían hacerlas vulnerables a ataques externos.

El hallazgo lo ha hecho la compañía CyberMDX en máquinas fabricadas por GE Healthcare, concretamente, en los modelos Aespire y Aestiva 7100 y 7900. Harold Thimbleby, experto en ciberseguridad médica de la Universidad de Swansea, aseguró que un hacker que penetrara en la red hospitalaria podría localizar a una de estas máquinas y modificar su configuración. No sería la primera vez que el NHS sufre ataques digitales, como sucedió en 2017 con los casos de ransomware protagonizados por el malware WannaCry.

Aunque el NHS no ha estado en disposición de confirmar el número de estas máquinas que todavía se están utilizando en sus hospitales, ha intentado minimizar el impacto de la noticia asegurando que los dispositivos no suelen estar conectados a la red hospitalaria, lo que imposibilita su acceso por parte de los hackers.

Al otro lado del Charco, el Equipo de Respuesta a Emergencias Cibernética (ICS-CERT) del Departamento de Seguridad Nacional de EEUU ha publicado un aviso de advertencia en el que asegura que la vulnerabilidad podría permitirle a un atacante la posibilidad de modificar de forma remota los parámetros del dispositivo, silenciando además las alarmas. Según indica en su evaluación del riesgo, esto sería consecuencia de la exposición de la configuración de ciertas implementaciones de servidor que extienden los puertos serie de las máquinas de GE Healthcare a las redes TCP/IP.

Por su parte, el fabricante también ha salido al paso, asegurando que los ataques cibernéticos no podrían presentar riesgo clínico para el paciente, pues cada una de las máquinas tendrá una supervisión específica. En cualquier caso, proporcionará actualizaciones de seguridad a través de su servicio de soporte. Reforzando esta llamamiento a la calma, desde el Colegio Real de Anestesistas también se avanza que las posibilidades de que se ponga en peligro a un/a paciente tras el pirateo de los dispositivos es “increíblemente pequeña”.

Sea como fuere, desde la Agencia Reguladora de Medicamente y Productos Sanitarios del Reino Unido  ya se ha abierto una investigación sobre estos hechos. Entre las recomendaciones que llegan desde Seguridad Nacional de EEUU destacan minimizar la exposición en la red de  todos los dispositivos y/o sistemas médicos y, cuando estén conectados, situarlos detrás de los cortafuegos, aislándolos cuando sea posible.