Decine di defibrillatori impiantabili sono a rischio: possono essere hackerati

Uno dei pericoli maggiori collegati al settore tecnologico dell'internet delle cose è che i dispositivi connessi alla Rete dai quali dipendiamo non sono così protetti dalle minacce esterne come dovrebbero essere. L'ultima dimostrazione arriva dal dipartimento della sicurezza interna statunitense, che in questi giorni ha lanciato un preoccupante allarme sulla vulnerabilità di una tipologia abbastanza diffusa di defibrillatori cardiaci impiantabili, che potrebbe essere sfruttata per causare malfunzionamenti nelle apparecchiature e — di conseguenza — gravi danni ai pazienti. Stando all'agenzia governativa la falla colpirebbe i seguenti modelli di prodotti dalla statunitense Medtronic: MyCareLink Monitor (24950 e 24952), CareLink Monitor (2490C), CareLink 2090 Programmer, Amplia CRT-D, Claria CRT-D , Compia CRT-D, Concerto CRT-D, Concerto II CRT-D, Consulta CRT-D, Evera ICD, Maximo II CRT-D e ICD, Mirro ICD, Nayamed ND ICD, Primo ICD, Protecta ICD e CRT-D, Secura ICD, Virtuoso ICD, Virtuoso II ICD, Visia AF ICD e Viva CRT-D.

Il difetto di programmazione darebbe ad eventuali malintenzionati la possibilità di manipolare le informazioni scambiate tra il defibrillatore e il relativo monitor, disattivando il dispositivo o facendolo intervenire quando non deve. Fortunatamente però il bug non è semplice da sfruttare; per farlo servono apparecchiature specifiche per il collegamento in wireless ai prodotti, ma soprattutto occorre conoscere alla perfezione il loro funzionamento (la falla è stata portata alla luce da due società specializzate in sicurezza informatica, che hanno informato Medtronics la quale ha avvisato le autorità) ed essere a meno di 6 metri di distanza dall'unità che si intende prendere di mira. La stessa Medtronic ha voluto precisare che finora non è venuta a conoscenza di alcun caso in cui un attacco sia stato portato, ma non c'è dubbio che la sola prospettiva di una serie di attacchi di questo tipo, anche se remota, possa causare giustificate preoccupazioni.

In attesa di un aggiornamento software che impedisca il collegamento dall'esterno da parte di utenti non autorizzati, per risolvere temporaneamente la vulnerabilità la soluzione potrebbe essere quella di disabilitare le connessioni wireless degli apparecchi, ma il produttore la sconsiglia. Innanzitutto perché il pacchetto software in grado di riparare al danno arriverebbe comunque attraverso il canale di comunicazione senza fili; in secondo luogo perché spegnendo le connessioni si impedisce ai dispositivi di comunicare al medico curante la condizione in tempo reale del paziente.