Check Point testasi, miten helposti ultraäänilaite hakkeroidaan
Verkkoyhteydellä varustetut laitteet helpottavat elämää niin kotona kuin työpaikollakin. Tietoturvayhtiö Check Point varoittaa kuitenkin IoT-laitteisiin liittyvistä tietoturvariskeistä. Havainnollistaakseen sanomaansa tietoturvatutkijat hakkeroivat ultraäänilaitteen.
Espoo – 8. maaliskuuta 2019 – Check point nimesi tuoreessa tietoturvaraportissaan IoT-laitteet, pilvipalvelut ja mobiililaitteet tietoturvan heikoimmiksi linkeiksi. Nettiyhteyttä hyödyntävät laitteet pääsivät listalle vähintään kolmesta syystä.
IoT-laitteet on usein rakennettu vanhentuneiden käyttöjärjestelmien varaan, ja tietoturvaominaisuudet saattavat puuttua niistä täysin. Toiseksi laitteille kerääntyy yhä useammin suuria määriä dataa, joka kiinnostaa kyberrikollisia. Kolmanneksi niiden kautta pääsee usein helposti sisään organisaation tietoverkkoon ja sen vielä kiinnostavampien data-aarteiden äärelle. Jo pelkkä laitteen kaappaaminen ja sen toiminnan pysäyttäminen voi aiheuttaa suurta tuhoa esimerkiksi sairaalassa.
Kyberhyökkäyksistä terveydenhuollossa on raportoitu viime vuosina tasaiseen tahtiin. Esimerkiksi helmikuussa hakkerit jäädyttivät australialaisen sydänklinikan potilastiedot. Viime vuonna tuli Singaporessa ilmi iso tietomurto, jossa muun muassa pääministerin terveystiedot joutuivat hakkereiden haltuun. USA:n viime vuoden laajin terveydenhuollon tietoturvavälikohtaus vaaransi 1,4 miljoonan potilaan tiedot. Suomessa sairaalan tietoturva on ollut uhattuna viime vuosina ainakin Lahdessa ja Pohjois-Karjalan sairaanhoitopiirissä. Läheltä piti -tilanteista ei yleensä tiedoteta.
Vanha laite voi olla helppo murrettava
Terveydenhuollon laitteiden valmistajat ovat alkaneet varustaa laitteitaan tietoturvaominaisuuksilla. Esimerkiksi uudessa ultraäänilaitteissa voi olla palomuuri, haittaohjelmasuojaus ja potilastietojen salaus. Vanhemmat laitteet muodostavat kuitenkin isoimman riskin. Niinpä Check Pointin tutkijat päättivät katsoa, mitä hieman ikääntyneempi IoT-ultraäänilaite pitää sisällään.
”Laitteen käyttöjärjestelmäksi paljastui Windows 2000, jolle ei enää julkaista ohjelmistopäivityksiä. Käyttöjärjestelmässä on useita hyvin tunnettuja haavoittuvuuksia, joita hyödyntämällä pääsimme helposti käsiksi laitteen koko tietokantaan ja sen sisältämiin potilaiden ultraäänikuviin”, Check Pointin tutkijat kertovat yhtiön blogissa.
Potilastietojen segmentointi pienentää riskiä
Check Point muistuttaa, että isossa terveydenhuollon organisaatiossa voi olla satoja laitteita, joiden raudassa tai ohjelmistossa voi olla haavoittuvuuksia. Niiden kaikkien paikkaaminen ja pitäminen päivitettyinä jatkuvasti on käytännössä mahdotonta. Kun henkilöstöllä lisäksi on tarve käyttää potilastietoja jatkuvasti, päivityksille sopivia hetkiä on harvoin. Siksi tarvitaan nykyaikainen, monitasoinen uhkientorjuntaratkaisu, joka pysäyttää väistämättömät hyökkäykset alkuunsa. Lisäksi Check Point suosittelee laitoksen sisäisen verkon segmentointia.
”Potilastietojen erottaminen muusta IT-verkosta helpottaa verkon liikenteen seuraamista, jolloin epätavallinen toiminta paljastuu nopeammin. Lisäksi segmentointi estää mahdollisen kiristyshaittaohjelmasta johtuvan tietojen salaamisen leviämisen laitteelta toiselle. Segmentointia tulisi harjoittaa myös siinä mielessä, että kullakin henkilöllä olisi pääsy vain työnsä kannalta tarpeellisille laitteille ja tietoihin”, Check Point neuvoo.
Lue Check Pointin blogi ja katso siihen liittyvä video täältä:https://blog.checkpoint.com/2019/03/07/ultrahack-the-security-risks-of-medical-iot/
Lisätiedot ja haastattelupyynnöt:
OSG Viestintä, Maija Rauha, maija.rauha@osg.fi, p. 0400 630 065
Rami Rauanmaa, Head of Security Engineering, Finland and Baltics, Check Point Software Technologies, ramira@checkpoint.com