Уязвимости в медицинских переносных устройствах позволяют отслеживать пациентов

Телемедицина находится на пике своей актуальности, и поставщики медицинских услуг с трудом справляются с нагрузкой, вызванной пандемией коронавирусной инфекции (COVID-19). Но спешка с переходом на телемедицину также привела к появлению множества носимых медицинских устройств для сбора конфиденциальных данных.

Специалисты из «Лаборатории Касперского» в прошлом году обнаружили 33 уязвимости в широко используемом протоколе передачи данных для медицинских IoT-устройств, известном как MQTT. Как предупредили исследователи, все выявленные проблемы подвергают риску данные пациентов. С 2014 года было зафиксировано 90 уязвимостей в MQTT, многие из которых до сих пор не исправлены.

Удобство MQTT делает его распространенным решением в большинстве IoT-гаджетов, включая медицинские устройства. Но в таких устройствах не требуется аутентификация, а шифрование встречается редко, подвергая пользователей риску MitM-атак и кражи данных.

«Лаборатория Касперского» также сообщила об обнаружении уязвимостей в наиболее распространенной платформе носимых устройств — Qualcomm Snapdragon Wearable. Общее количество уязвимостей, обнаруженных в платформе с момента ее запуска в 2020 году, достигло 400.

В 2019 году количество критических уязвимостей, найденных в протоколе MQTT, составило 15, в 2020 году их было 8, а в 2021 году — 18.

Согласно отчету компании Constella, в 2020 году количество утечек персональных данных в медицинском секторе выросло в 1,5 раза по сравнению с 2019 годом. Журнал HIPAA, посвященный утечкам в США, о которых сообщают медицинские организации, также отмечает рост как количества утечек, так и среднего числа жертв в результате них. В 2021 году HIPAA зафиксировала 642 утечки данных медицинских организаций против 512 в 2019 году.

«Разработчики приложений должны понимать, что уязвимости в приложении и отсутствие безопасности в целом могут позволить киберпреступникам получить доступ к личным разговорам врачей и пациентов, пользовательским базам данных, платежным реквизитам и другой особо конфиденциальной информации», — пояснили специалисты «Лаборатории Касперского».