W kolejnym odcinku Wpadki Tygodnia wybierzemy się do dwóch zupełnie ze sobą nie związanych instytucji – odwiedzimy bowiem kasyno i szpital. Poznamy procesy aktualizacji oprogramowania urządzeń medycznych oraz skutki błędu banku i zachłanności hazardzisty. Zapraszamy!
Sprzęt medyczny staje się coraz bardziej zaawansowany technologicznie. Za niedługo już tylko szpitalna kaczka nie będzie miała w środku procesora i własnego oprogramowania. Swoje programy mają respiratory, pompy infuzyjne czy rozruszniki serca. Oczywiście oprogramowanie jest ciągle aktualizowane, by poprawiać wykryte błędy lub niedoróbki. Niejeden dostawca sprzętu medycznego wpadł na pomysł, by aktualizacje oprogramowania pobierać bezpośrednio z internetu. Nasz laureat o mało co dzięki temu nie wylądował na pierwszych stronach gazet.
Powody przyznania nagrody
Tytuł Wpadki Tygodnia przyznajemy firmie CareFusion, która produkuje między innymi respiratory. Kevin Fu, prowadzący bloga poświęconego bezpieczeństwu urządzeń medycznych, dokonał bardzo niepokojącego odkrycia. Kiedy próbował pobrać ze strony CareFusion nową wersję wbudowanego oprogramowania dla respiratora, zobaczył… ostrzeżenie Google Safe Browsing informujące, że odwiedzana właśnie witryna zawiera złośliwe oprogramowanie.
Ostrzeżenie od Google Safe Browsing (źródło: http://blog.secure-medicine.org)
Raport Googla nie pozostawia wątpliwości – witryna serwowała 48 koni trojańskich i 3 złośliwe skrypty. Dodatkowe dane od Clean-MX pokazują, że strona była zainfekowana co najmniej od 23 marca do 31 maja – a więc ponad miesiąc. Na szczęście dla naszego laureata, witryna została zainfekowana w celu rozsiewania złośliwego oprogramowania wśród odwiedzających ją użytkowników, a nie w celu podłożenia nieautoryzowanej paczki kodu dla respiratora, na przykład zmniejszającej ilość podawanego tlenu o połowę. Co śmieszniejsze, CareFusion samo złamało swoje warunki użytkowania witryny, zakazujące używania jej do m. in. dystrybucji wirusów i koni trojańskich.
Co prawda do ataku na respirator nie doszło, ale nie jest trudno wyobrazić sobie scenariusz, w którym odpowiednio zdeterminowany i posiadający duże możliwości atakujący jest w stanie ustalić numer seryjny respiratora lub rozrusznika, do których podłączony jest np. przeciwnik polityczny i produkuje aktualizację oprogramowania, która tylko na tym urządzeniu zadziała nieprawidłowo, uśmiercając konkretną osobę.
Konkurencja
Nasza druga historyjka jest dużo lżejsza, a jej bohater był – przynajmniej przez kilka dni – dużo szczęśliwszy, niż pacjenci szpitali. Ronald Page, były pracownik General Motors, postanowił poszaleć w kasynie w Detroit. Na koncie nie zostało mu zbyt wiele, ale ku jego zdziwieniu bankomat wypłacał kolejne kwoty, ignorując saldo konta. Pan Page tak się zaangażował w wypłacanie i przegrywanie kolejnych kwot, że w ciągu dwóch tygodni, zanim bank się zorientował, że coś jest nie tak, nasz bohater zdążył przepuścić półtora miliona dolarów. Ronald Page czeka na wyrok w swojej sprawie, ale nie posiedzi długo – oskarżyciel uznał, że choć jego wina była niewątpliwa, to współwinnym był również bank, który pozwolił na nielimitowane wypłaty. A wygrało, jak zwykle, kasyno!
