اختراق الأجهزة الطبية

اختراق الأجهزة الطبية هو نوع من أنواع الهجمات الإلكترونية التي تستهدف الثغرات الأمنية الموجودة في الأجهزة الطبية للمستشفيات. وقد حظيت هذه النوعية من الهجمات السيبرانية بتغطية إعلامية واسعة خلال عامي 2015 و2016،Hacking Healthcare IT in 2016  وازداد التركيز الإعلامي عليها في عام 2017 مع تزايد وتيرة هذه الهجمات عالميًا، ونشر العديد من الأبحاث والدراسات العلمية التي تتناولها. يُمكن لعمليات اختراق الأجهزة الطبية أن تُعرض المرضى للخطر من خلال السماح للمتسللين بتغيير وظائف الأجهزة الحيوية مثل الغرسات، وكشف التاريخ الطبي للمرضى، وربما منح الوصول إلى البنية التحتية للوصفات الطبية للعديد من المؤسسات واستغلالها في أنشطة غير مشروعة. يُعد برنامج ميدجاك 3 واحدًا من أشهر البرمجيات التي تُستخدام في عمليات اختراق الأجهزة الطبية، وهو مصمم بحيث لا يكشف عن نفسه، وفي نفس الوقت يبحث عن أنظمة تشغيل أقدم وأكثر عرضة للخطر، والتي تكون موجودة فقط في الأجهزة الطبية، كما يمتلك البرنامج القدرة على التخفي والاختباء من جدران الحماية وأدوات مكافحة البرمجيات الخبيثة الأخرى لكي يظل في بيئة آمنة غير افتراضية.

 نظرة عامة 
يقوم المهاجم الإلكتروني في هجمات اختراق الأجهزة الطبية، يزرع برمجيات خبيثة داخل الشبكات الخاصة بالمؤسسات الطبية والمستشفيات من خلال طرق متنوعة مثل مواقع لبويب مفخخة بالبرمجيات الخبيثة، أو رسائل البريد الإلكتروني العشوائية، أو استخدام أقراص تخزين المسرى التسلسلي العام المصابة، أو من خلال الوصول المُهندس اجتماعيًا، ثم ينتشر البرنامج الخبيث داخل الشبكة. في معظم الأحيان، تُزيل جدران الحماية وبرامج الأمن السيبراني الحالية أدوات المهاجم من الخوادم القياسية ومحطات عمل تقانة المعلومات، غير أن برنامج الدفاع السيبراني لا يستطيع الوصول إلى المعالجات المدمجة في الأجهزة الطبية. تعتمد معظم أنظمة التشغيل المدمجة في الأجهزة الطبية على نظامي التشغيل مايكروسوفت ويندوز 7 ومايكروسوفت ويندوز إكس بي. ولم تعد شركة مايكروسوفت تدعم خصائص الأمان في هذين النظامين، مما جعل منهما أهدافًا سهلة نسبيًا للاختراق، وبالتالي من المُمكن أن يجد المُهاجم الإلكترونيّ داخل هذه الأجهزة الطبية الآن ملاذًا آمنًا لإنشاء منفذ خلفي يسمح له بالتحكم فيها عن بعد. وبفضل هذا الوصول المفتوح، فبمجرد اختراق الأجهزة الطبية، يكون المهاجم حرًا في التحرك أفقيًا لاكتشاف الموارد المستهدفة، مثل بيانات المرضى، والتي يمكنه استخراجها بهدوء. ونظرًا لأن الأجهزة الطبية حاصلة على شهادة إدارة الغذاء والدواء الأمريكية، لا يمكن لموظفي المستشفى وفريق الأمن السيبراني الوصول إلى البرنامج الداخلي دون تحمل مسؤولية قانونية، أو التأثير على تشغيل الجهاز، أو انتهاك الشهادة.

تستهدف عمليات اختراق شبكات الرعاية الصحية للوصول إلى سجلات المرضى وسرقتها. ونظرًا لاتساع نطاق الترابط بين الأجهزة الطبية وشبكات المستشفيات، فكثيرا ما تُثار المخاوف الأمنية بشأن مدى أمان المعدات الطبية، والتي لا تُؤخذ عادةً في الاعتبار عند إجراء عمليات المسح الروتينية للكشف في سياق تقانة المعلومات، وقد تفتقر عناوين بروتوكول الإنترنت التي تربط هذه الأجهزة بشبكة المستشفى إلى الترقيع البرمجي اللازم، مما يُعرّض كلًا من الشبكة والأجهزة لمجموعة كبيرة من الثغرات الأمنية.

 الأجهزة المعرضة للاختراق 
يمكن لأي جهاز طبي تقريبًا أن يتعرض للاختراق. وفي أحد أقدم الأمثلة الموثقة لعمليات اختراق الأجهزة الطبية، عُثر على برمجيات خبيثة في جهاز تحليل غازات الدم، ونظام التصوير بالرنين المغناطيسي، والتصوير المقطعي المحوسب، وأجهزة الأشعة السينية. وفي عام ٢٠١٦، نُشرت دراسات حالة أظهرت تعرض أنظمة التصوير المركزية للاختراق، وهي أنظمة حيوية ومهمة لعمليات المستشفيات. وفي أغسطس (آب) ٢٠١١، كشف ممثلون عن شركة آي بي إم خلال المؤتمر السنوي للقبعات السوداء عن كيفية استخدام أحد أجهزة المسرى التسلسلي العام المصابة لتحديد الأرقام التسلسلية للأجهزة الطبية ضمن نطاق قريب، وتسهيل حقن جرعات قاتلة للمرضى الذين يستخدمون مضخة الأنسولين.Hei X., Du X. (2013) Conclusion and Future Directions. In: Security for Wireless Implantable Medical Devices. SpringerBriefs in Computer Science. Springer, New York, NY

 المؤسسات المتضررة 
استهدفت هجمات اختراق الأجهزة الطبية بشكل رئيسي أكبر 6000 مستشفى ومؤسسة صحية حول العالم. وتُعد بيانات الرعاية الصحية هي الأعلى قيمةً بين جميع بيانات الهوية التي تتعرض للسرقة، ونظرًا لضعف البنية التحتية الأمنية داخل المستشفيات، يُشكل هذا النوع من البيانات هدفًا سهل المنال وقيّمًا للغاية للقراصنة والمجرمين الإلكترونيين. وإلى جانب المستشفيات، يمكن أن تتعرض عيادات الأطباء والمؤسسات والمنظمات الصحية الكبيرة أيضًا لمحاولات اختراق الأنظمة والأجهزة الطبية، مثل منظمات الرعاية المسؤولة، وجمعيات الأطباء المستقلين، ومرافق التمريض الماهرة للرعاية الحادة والرعاية طويلة الأجل، والمراكز الجراحية، ومختبرات التشخيص.

 الحالات المسجلة 
أشارت العديد من التقارير إلى تعرض المستشفيات والمؤسسات الاستشفائية والعلاجية لاستهداف المهاجمين الألكترونيين بهجمات سيبرانية سواء بالفيروسات، أو بهجمات برامج الفدية، أو بااستغلال الثغرات الأمنية الموجودة في نظام التشغيل مايكروسوفت ويندوز إكس بي، أو باختراق البيانات الحساسة المخزنة على خوادم المستشفيات.

 هجوم يونيو 2014 على أنظمة الصحة المجتمعية 
في ملف رسمي قُدّم إلى هيئة الأوراق المالية والبورصات الأمريكية، أعلنت أنظمة الصحة المجتمعية عن تعرض شبكتها التي تضم 206 مستشفيات في 28 ولاية أمريكية لهجمات إلكترونية وعمليات اختراق وقعت في الفترة ما بين أبريل (نيسان) 2014 ويونيو (حزيران) 2014. وشملت البيانات المُخترقة معلومات شخصية حساسة تخص نحو 4.5 مليون مريض، ومن بين هذه البيانات أرقام الضمان الاجتماعي. وخلص مكتب التحقيقات الفيدرالي إلى أن منفذو هذه الهجمات هم مجموعة من المهاجمين الإلكترونيين الموجودين في الصين، وأصدر مكتب التحقيقات الفيدرالي تحذيرًا شاملًا للقطاع الصحي في الولايات المتحدة الأمريكية، ناصحًا الشركات بتعزيز أنظمة شبكاتها واتباع البروتوكولات القانونية لمساعدة مكتب التحقيقات الفيدرالي على التصدي للهجمات المستقبلية.

 هجوم مارس 2019 على ميدترونيك 
وجّهت إدارة الغذاء والدواء الأمريكية في عام 2019 تحذيرًا رسميًا بشأن وجود ثغرات أمنية في الأجهزة التي تنتجها شركة ميدترونيك، والتي تتنوع ما بين مضخات الأنسولين ونماذج مختلفة من غرسات القلب. خلصت الوكالة إلى أن نظام كيرلينك، وهو الآلية الأساسية التي استخدمتها الشركة لتحديث البرامج، بالإضافة إلى أنظمة مراقبة المرضى ونقل البيانات أثناء عملية الزرع وزيارات المتابعة، تفتقر إلى بروتوكول أمان كافٍ لمنع المتسللين المحتملين من الوصول إلى هذه الأجهزة. وأوصت إدارة الغذاء والدواء الأمريكية مقدمي الرعاية الصحية بتقييد وصول البرامج إلى المرافق القائمة مع توحيد البنية التحتية الرقمية للحفاظ على السيطرة الكاملة طوال العملية.

 الانتشار 
قدّرت تقييمات غير رسمية مختلفة أن عمليات اختراق الأجهزة الطبية تؤثر حاليًا على غالبية المستشفيات حول العالم، وأن معظمها لا تزال غير مُكتشفة، إذ تفتقر أنظمة هذه المُستشفيات إلى التقنيات اللازمة للكشف عن عمليات اختراق الأجهزة الطبية، واكتشاف حركة المهاجمين الجانبية في مراكز القيادة والتحكم داخل الأجهزة الطبية المستهدفة في الغالبية العظمى من المستشفيات حتى فبراير (شباط) 2017. وتشير الإحصائيات إلى أنه في مستشفى يضم 500 سرير، هُناك ما يقارب 15 جهازًا طبيًا، والتي عادةً ما تكون متصلة بإنترنت الأشياء، لكل سرير. هذا بالإضافة إلى أنظمة الإدارة المركزية، ومختبرات التشخيص في المستشفى التي تستخدم الأجهزة الطبية، وأنظمة السجلات الطبية الإلكترونية والسجلات الصحية الإلكترونية، ومراكز التصوير المقطعي المحوسب والتصوير بالرنين المغناطيسي والتصوير بالأشعة السينية داخل المستشفى.

 الكشف والمعالجة 
من الصعب اكتشاف هجمات اختراق الأجهزة الطبية، ومن الصعب أيضًا معالجتها في حال حدوثها، ولكن يُمكن استخدام تقنية الخداع للإيقاع بالمهاجمين أو إغرائهم بالكشف عن أنفسهم أثناء تحركهم الجانبي داخل الشبكات. عادةً ما يتعين على الشركة المصنعة إعادة تحميل جميع برامج الأجهزة الطبية. لا يمتلك موظفو أمن المستشفيات المؤهلات اللازمة ولا القدرة على الوصول إلى المكونات الداخلية لهذه الأجهزة المعتمدة من إدارة الغذاء والدواء الأمريكية. كما يمكن أن تُصاب هذه الأجهزة بالفيروسات مرة أخرى بسرعة كبيرة، إذ يكفي جهاز طبي واحد لإعادة إصابة بقية الأجهزة في المستشفى.

تستهدف الجريمة المنظمة شبكات الرعاية الصحية للوصول إلى سجلات المرضى وسرقتها. يُشكل هذا خطرًا كبيرًا على بيانات المرضى، مثل معلومات بطاقات الائتمان وغيرها من المعلومات الصحية المحمية. ونظرًا لاتساع نطاق الترابط بين الأجهزة الطبية وشبكات المستشفيات، تُثير المخاوف الأمنية لأن المعدات الطبية لا تُؤخذ عادةً في الاعتبار في عمليات المسح الروتينية للكشف في سياق تقنيات المعلومات والأمن السيبراني. قد تفتقر عناوين بروتوكول التي تربط هذه الأجهزة بشبكة المستشفى إلى الترقيع البرمجي اللازم، مما يُعرّض كلًا من الشبكة والأجهزة لمجموعة كبيرة من الثغرات الأمنية.

 تدابير المكافحة 
في 28 ديسمبر (كانون الأول) 2016، أصدرت إدارة الغذاء والدواء الأمريكية لمصنعي الأجهزة الطبية توصياتها غير القابلة للتنفيذ قانونًا بشأن كيفية الحفاظ على أمان الأجهزة المتصلة بالإنترنت. وبعد أن درس مكتب المحاسبة الحكومي الأمريكي هذه القضية، خلص إلى أن إدارة الغذاء والدواء عليها أن تكون أكثر استباقية وتبذل المزيد من الجهود للحد من الثغرات الأمنية من خلال توجيه الشركات المصنعة بتوصيات تصميم محددة بدلاً من التركيز حصريًا على حماية الشبكات المستخدمة لجمع البيانات ونقلها بين الأجهزة الطبية.Medical Devices : FDA Should Expand Its Consideration of Information Security for Certain Types of Devices : Report to Congressional Requesters. Washington, D.C: United States Government Accountability Office; 2012. سلطت بعض التقارير الأخرى الضوء على جوانب تصميم الغرسات الطبية وكيف تؤثر على الأمان العام للجهاز الطبي.

 مراجع 



تصنيف:اختراق (حماية الحاسوب)
تصنيف:أجهزة طبية
تصنيف:أمن الحاسوب
تصنيف:برمجيات خبيثة
تصنيف:تقانة حيوية
تصنيف:خصوصية صحية
تصنيف:علم الحاسوب
تصنيف:هجمات سيبرانية
تصنيف:هندسة طبية حيوية