Kaspersky の専門家は昨年、遠隔患者モニタリングに使用されるモバイル ヘルス デバイスの送信に最も一般的に使用されているプロトコルに 33 の脆弱性を発見しました [1]。 Qualcomm Snapdragon も影響を受けました。
18 件の脆弱性が重大な脆弱性です。 これは 10 年より 2020 件多く、その多くはまだ解決されていません。 これらの脆弱性の一部により、攻撃者はデバイスからオンラインで送信されるデータを傍受できます。
2021 年の脆弱性の増加
進行中のパンデミックにより、ヘルスケア部門の急速なデジタル化が進んでいます。 病院と介護者が圧倒され、多くの人々が自宅で隔離されているため、組織は患者のケア方法を再考することを余儀なくされています. Kaspersky の最近の調査 [2] によると、ヨーロッパの医療提供者の 92,7% が遠隔医療機能を実装しています。 しかし、この急速なデジタル化は、特に患者データに関しては、新たなセキュリティ リスクをもたらしました。
遠隔医療には、携帯機器とモニターを使用して行われる患者の遠隔監視も含まれます。 これらは、心臓の活動など、患者の健康指標を継続的または定期的に監視します。
MQTT プロトコルは安全なデータ転送を提供しません
MQTT プロトコルは、その使いやすさから、ウェアラブル デバイスやセンサーからデータを転送するために最も広く使用されているプロトコルです。 そのため、ウェアラブル デバイスだけでなく、他のほとんどすべてのスマート ガジェットにも使用されています。 ただし、MQTT を使用する場合の認証は完全にオプションであり、暗号化が含まれることはめったにありません。 これにより、MQTT は中間者攻撃に対して非常に脆弱になり、攻撃者は XNUMX つの当事者間の通信中に自分自身を挿入できます。 その結果、インターネット経由で送信されるすべてのデータが盗まれる可能性があります。 ただし、ウェアラブル デバイスでは、処理および送信される情報には、機密性の高い医療データ、個人情報、さらには人の動きが含まれる場合があります。
2014 年以降、重大な脆弱性を含む 90 の脆弱性が MQTT で発見されましたが、その多くは今日まで修正されていません。 2021 年には 33 件の新しい脆弱性が発見され、そのうち 18 件は重大なもので、10 年より 2020 件多くなっています。
脆弱性を持つ Qualcomm Snapdragon ウェアラブル プラットフォーム
Kaspersky の専門家は、MQTT プロトコルだけでなく、ウェアラブル デバイスで最も人気のあるプラットフォームの 400 つである Qualcomm Snapdragon ウェアラブル プラットフォームにも脆弱性を発見しました。 開始以来、2020 を超える脆弱性が特定されましたが、XNUMX 年にさかのぼるものも含め、すべてがパッチされているわけではありません。
ほとんどのウェアラブル デバイスは、ユーザーの健康データだけでなく、場所や動きも記録します。 これにより、データの盗難だけでなく、ストーキングも可能になります。 博士ドイツの遠隔医療会社 arztkonsultation ak GmbH の創設者兼マネージング ディレクターである Peter Zeggel 氏は、次のようにコメントしています。 これは共同責任です。 遠隔医療の立法者、プロバイダー、およびユーザーはすべて、セキュリティの強化に向けて取り組む必要があります。 関係者全員が貢献できます！」
「パンデミックにより、遠隔医療市場が大幅に成長しました。これは、ビデオ ソフトウェアを介して医師と通信することだけではありません。 Kaspersky のロシア グローバル リサーチ アンド アナリシス チーム (GReAT) の責任者である Maria Namestnikova は、次のように述べています。 「しかし、多くの病院はまだ検証されていないサードパーティのサービスを使用して患者データを保存しており、ウェアラブル ヘルスケア デバイスとセンサーの脆弱性は未解決のままです。 ただし、そのようなデバイスを使用する前に、企業は自身のデータと患者のデータを保護するために、セキュリティ レベルについて可能な限り調べておく必要があります。」
医療提供者が患者データを保護するためのカスペルスキーのヒント
病院や医療施設で使用されるすべてのアプリケーションとデバイスの安全性を確認してください。 遠隔医療アプリによって送信されるデータを最小限に抑えます。 たとえば、位置情報の送信が必要ない場合は、無効にする必要があります。
問題のデバイスが暗号化をサポートしている場合は、常にすべてのデフォルトのパスワードを変更し、暗号化を使用してください。
カスペルスキーについて Kaspersky は、1997 年に設立された国際的なサイバーセキュリティ企業です。 Kaspersky の脅威インテリジェンスとセキュリティに関する深い専門知識は、革新的なセキュリティ ソリューションとサービスの基盤として機能し、世界中の企業、重要なインフラストラクチャ、政府、および消費者を保護します。 同社の包括的なセキュリティ ポートフォリオには、最先端のエンドポイント プロテクションと、複雑で進化するサイバー脅威から防御するためのさまざまな専門的なセキュリティ ソリューションとサービスが含まれています。 400 億を超えるユーザーと 250.000 の法人顧客がカスペルスキーのテクノロジーによって保護されています。 カスペルスキーの詳細については、www.kaspersky.com/ をご覧ください。
【1] https://securelist.com/telehealth-report-2020-2021/105642/
【2] https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2021/11/22125239/Kaspersky_Healthcare-report-2021_eng.pdf