'App' asesina: prueban que es posible matar con una aplicación creada 'ad hoc'

Dos empleados de una empresa de seguridad informática de EEUU prueban que es posible 'hackear' las bombas de insulina que usan los diabéticos y manipular las cantidades a administrar, obrando un desenlace letal. Advirtieron de tal posibilidad en 2018, pero nadie les hizo caso. Ahora han creado una aplicación asesina que demuestra su hallazgo.

Billy Rios y Jonathan Butts, que trabajan en QED Security Solutions, descubrieron que los MiniMed y MiniMed Paradigm ―dispositivos para la autoadministración de insulina de la firma Medtronic― presentan fallos en su seguridad y están expuestos a la manipulación remota.

Así lo anunciaron durante su intervención en 2018 en la conferencia de seguridad Black Hat, en Las Vegas. Entonces sus conversaciones con el fabricante y la Agencia del Medicamento de EEUU resultaron en la práctica estériles, pues estos se limitaron a informar de la contingencia a los posibles afectados. Es decir, no tomaron medidas para resolver la vulnerabilidad de estos mecanismos aun cuando habían sido informados de que la conexión entre el mando a distancia y la bomba que inyecta la insulina de modo automático se hallaba desprotegida.

De tal suerte, seguía siendo posible interceptar la señal y liberar una cantidad de la hormona distinta a la previamente establecida, poniendo en riesgo la vida de los usuarios de este tipo de dispositivos. Así que Rios y Butts tomaron una decisión drástica. "Simplemente hemos creado un mando universal para todas las bombas de insulina del mundo", declaró Rios al medio especializado Wired.

 "No sé por qué Medtronic ha tenido que esperar a que apareciese una app que puede herir o matar para tomárselo en serio".

Bombas y bolos

Las personas que sufren diabetes suelen administrarse ellas mismas su dosis de insulina, pulsando los botones necesarios en las bombas, los llamados bolos. Pero hay algunas bombas que incluyen control remoto, similares al mando a distancia de un coche, ofreciendo así la posibilidad de que el personal sanitario no tenga que estar in situ para controlar el proceso.

Lo que Rios y Butts han descubierto es que resulta relativamente fácil interceptar las frecuencias en las que vehiculan su conexión el control remoto y la bomba, dado que no es una comunicación cifrada. Un pirata informático podría valerse de programas de código abierto, accesibles para todo el mundo, y programar una señal de radio que se disfrace del control remoto y envíe órdenes que las bombas admitirán y ejecutarán. Luego de establecer un primer contacto, un hacker podría controlar esa señal de radio mediante una sencilla aplicación para teléfonos inteligentes.

Recientemente alertaban del riesgo del hackeo de bombas de insulina (ojo,que te pueden matar a distancia,no solo es un tema de privacidad),ahora recomiendan dejar de unas microsoft office onlines y apps...
Vamos a volver al siglo XX para estar seguros. https://t.co/u8NAdd4Kst

— Alberto CondeMellado (@acondemellado) July 30, 2019

Cómo funciona la app

Y esto es justamente lo que Rios y Butts han hecho: crear una aplicación que además rastrea las señales que emite una bomba de insulina en su entorno. Las detecta y pone en comunicación el dispensador de esta hormona y la app, que suplanta al mando a distancia de la bomba.

En ese momento, un potencial usuario de la aplicación podría programar una dosis diferente a la necesitada y de resultados letales. El paciente no podría impedirlo, pues aunque las bombas de insulina avisan con un pitido de la administración de la dosis, se hace de manera tan rápida, que apenas hay tiempo material para despojarse del aparato e impedir la administración de la dosis (el bolo).

Vulnerabilidad de ciberseguridad en algunas bombas de insulina https://t.co/lUTeDKiGMu vía @AEMPSGOB. Médicos y pacientes cada vez estamos más conectados gracias al #eHealth, pero algunos riesgos resultan inquietantes. pic.twitter.com/e2849NBDt9

— Juan Turnes (@jturnesv) July 26, 2019

Los hipotéticos ataques sólo pueden producirse dentro del rango de acción de los mandos a distancia, no desde varios kilómetros. Pero Rios y Butts afirman que con la ayuda de un amplificador de señal, tal radio se incrementaría en unos metros.

Más vale tarde que nunca

Medtronic y los órganos reguladores estadounidenses admiten que no hay forma de subsanar los fallos de seguridad de los modelos de bombas de insulina afectados, tampoco de desactivar por completo la función remota.

Primeramente aconsejaron a los pacientes desactivar manualmente el acceso remoto para una mayor protección, pero esto significa privarse de una función valiosa que potencialmente puede salvar vidas: la que permite que el personal sanitario dispense el tratamiento por control remoto. Así las cosas, Medtronic otorga la posibilidad de sustituir estos dispositivos por otros más seguros sin coste alguno. Pero el clima se ha enrarecido; ha hecho falta que unos investigadores den un paso extremo, incluso peligroso, para provocar una reacción.

Las vulnerabilidades en dispositivos médicos aumentan: surgen nuevos ataques para apagar bombas de insulina y hackear marcapasos https://t.co/amrqjeujEO -

Hace casi diez años se descubrió la primera vulnerabilidad en un dispositivo médico, concretamente… pic.twitter.com/cwpTqmsYnV

— Dr Vicente Nario (@DrBicentenario) August 10, 2018