複数のメーカーのペースメーカーは、最大50フィート離れたノートパソコンから致命的な830ボルトのショックを与えるよう命令される可能性がある。これは医療機器メーカーによるソフトウェアプログラミングの不備によるものだ。
この新たな研究は、インスリン注入装置など他の医療機器の分析で知られるセキュリティベンダーIOActiveのBarnaby Jack氏によるものだ。
水曜日にメルボルンで開かれたセキュリティ会議「ブレイクポイント」で講演したジャック氏は、この欠陥はペースメーカーや植込み型除細動器（ICD）に指示を出す無線送信機のプログラミングにあると述べた。ICDや植込み型除細動器は不整脈を感知し、心臓発作を防ぐために電気ショックを与える装置である。
この欠陥を悪用した攻撃が成功すれば「間違いなく死者が出る可能性がある」とジャック氏は述べた。同氏は製造業者に問題を通知したが、どの企業かは公表しなかった。
ジャック氏はビデオのデモンストレーションで、遠隔操作でペースメーカーに突然 830 ボルトのショックを与え、ぱちくりと聞こえる音を出す方法を披露した。
ワイヤレスリスク
ジャック氏によると、2006年から2011年の間に米国だけで460万台ものペースメーカーとICDが販売されたという。かつては、ペースメーカーとICDの再プログラムには、医療従事者がデバイスを装着した患者の数メートル以内を通過するワンド（針）を使用していた。ワンドはソフトウェアスイッチを切り替え、新しい指示を受け入れるようにしていた。
しかし、現在ではワイヤレス化がトレンドとなっています。複数の医療機器メーカーが、ワンド型送信機に代わる、最大9メートルから15メートル（30～50フィート）のワイヤレス範囲を持つベッドサイド送信機を販売しています。ジャック氏によると、2006年には米国食品医薬品局（FDA）が400MHz帯で動作する完全無線周波数（RF）ベースの埋め込み型機器を承認しました。
ジャック氏によると、送信範囲が広ければ広いほど、ソフトウェアへの遠隔攻撃がより容易になるという。ジャック氏は送信機を調べたところ、特別なコマンドを使って無線で送信機に接続すると、シリアル番号とモデル番号が明らかになることを発見した。
シリアル番号とモデル番号があれば、ジャックは送信機のファームウェアを再プログラムすることができ、人体のペースメーカーやICDを再プログラムすることができる。
「これがなぜ致命的な特徴なのかは容易に理解できる」とジャック氏は語った。
彼の研究はまだ始まったばかりだ。FDAは機器の医学的有効性のみを審査しており、機器のコード監査は行っていないと彼は言う。
「私の目的は、こうした潜在的な悪意ある攻撃に対する認識を高め、メーカーに対し、こうしたデバイスの従来の安全機構だけでなく、自社のコードのセキュリティを見直すよう促すことです」とジャック氏は述べた。
データも脆弱
彼はまた、これらのデバイスには患者の氏名や担当医といった個人情報が含まれていることが多いなど、他の問題も発見した。また、ソフトウェア開発に使用されたリモートサーバーへのアクセスの可能性があることなど、ずさんなコードを示す兆候も見られた。
「新しい実装には多くの欠陥があります」とジャックは言った。「本当にやり直す必要があります。」
ジャックは「Electric Feel」を開発しています。これは、グラフィカルユーザーインターフェースを備えたアプリケーションで、ユーザーが範囲内にある医療機器をスキャンできます。リストが表示され、ユーザーはペースメーカーなどの機器を選択して、電源を切ったり、電気ショックを与えるように設定したりできます。
ジャック氏によれば、それだけでは十分ではないかのように、特別に細工したファームウェアを企業のサーバーにアップロードして、複数のペースメーカーやICDに感染させ、本物のウイルスのようにシステム全体に拡散させることも可能だという。
「大量殺戮能力を持つワームを目撃している可能性がある」とジャックは言った。「ちょっと怖いね」
皮肉なことに、インプラントと無線送信機はどちらもAES（Advanced Encryption Standard）暗号化に対応しているにもかかわらず、有効になっていないとジャック氏は述べた。また、これらのデバイスには「バックドア」、つまりシリアル番号とモデル番号を用いた標準的な認証を介さずにプログラマーがアクセスできる仕組みも備わっている。
バックドアがなければ「切開する」必要があるかもしれないので、医療上の必要性は当然あるとジャック氏は述べた。「しかし、バックドアを設けるなら、少なくともICDコアの奥深くに埋め込んでほしい。ICDは高価なデバイスだからね。」
ジャック氏のプレゼンテーションは、漫画のような美しいイラストで表現されていました。あるスライドには、長年心臓病を患っている元アメリカ副大統領ディック・チェイニー氏に酷似した男性が映し出されていました。ジャック氏によると、この装置の欠陥により、攻撃者は50フィート（約15メートル）離れた場所から「かなり匿名性の高い暗殺」を実行できる可能性があるとのことです。
「私にとって、ノートパソコンは人を殺せるような装置には見えない」とジャック氏は語った。
あるいは、聴衆の一人がこう付け加えた。「ラップトップなら銃口の閃光は出ません。」
ニュースのヒントやコメントは[email protected]までお送りください。Twitterで@jeremy_kirkをフォローしてください。
