Teknoloji ürpertiyor! Artık bir insanı veriye sızıp ilaç dozuyla öldürmek mümkün
Abone olAkıllı teknolojiler cep telefonlarımızla kalmadı ev eşyalarından artık sağlık cihazlarına kadar girdi. İnternete bağlı kalp pilinde, insülin pompasında veri sızmalarıyla ölümcül sonuçlar doğabiliyor. Siber saldırganların kalp pilinin temel işlevlerini değiştirebileceğini ve böylece hastanın hayatını tehlikeye atabileceğini ifade ediyorlar.
Yeni teknolojilerle üretilen kalp pili, insülin pompası gibi
tıbbi cihazlardaki güvenlik açıkları hastaların hayatlarını tehdit
ediyor. Geçtiğimiz yıl dünyada bu alandaki saldırıların yüzde 40
oranında arttığı belirtilirken, uzmanlar da cihazların güvenlik
açıklarının kapatılması gerektiği konusunda uyarılarda bulundu.
İnsülin pompaları tüm dünyada diyabet tedavisinde kan şekerinin normale yakın düzeylerde tutulması için iğne tedavisi yerine kullanılıyor. Ancak bir insülin pompasında geçtiğimiz yıl meydana gelen güvenlik açığı, hastaların hayatını tehdit edecek ölçüde saldırıların olabileceğini gözler önüne serdi. Güvenlik açıkları sebebiyle saldırganların hastalara çift doz ilaç verebileceği ortaya çıkınca, güvenlik alanındaki bu ihmallerin korkutucu boyutu tartışmalara sebep oldu. Kalp pilleri ya da daha yeni teknolojilerle üretilen tıbbi cihazların risk altında olup olmadığı merak konusu. Uzmanlar, insan hayatının söz konusu olduğu bu cihazlarla ilgili, güvenlik önlemlerinin artırılması gerektiğini savunuyor.
Sadece kalp pilleri ve insülin pompaları değil, diğer birçok tıbbi cihaz yazılım içeriyor ve bilgi paylaşmak için internete, hastane ağlarına, cep telefonunuza veya diğer cihazlara bağlanabiliyor. Yeni teknolojiler implante edilebilir, giyilebilir veya evde, sağlık bakım ortamlarında kullanılan tüm farklı türdeki cihazlara uygulanabiliyor.
Saldırıyla çift doz ilaç verilebilir
Geçen yıl yapılan bir araştırma, sağlık kuruluşlarının yüzde
80'inden fazlasının son 18 ayda IoT yani internete bağlı cihazlarda
güvenlik olaylarıyla karşılaştığını ortaya koydu. Uluslararası
pazarda çok satılan bir insülin pompasında 2021'in ağustos ayında
tespit edilen güvenlik açıklarının, siber saldırganların hastalara
uzaktan çift doz ilaç vermelerine mümkün kıldığını ortaya çıkardı.
Ayrıca araştırmacılar, siber saldırganların kalp pilinin temel
işlevlerini değiştirebileceğini ve böylece hastanın hayatını
tehlikeye atabileceğini ifade ediyorlar.
2017 yılında yaşanan WannaCry isimli siber saldırıda, kötü
amaçlı yazılım bin 200 tanı cihazına bulaşmış, yazılımın
yayılmasını önlemek için diğer birçok hastane departmanı geçici
olarak hizmet dışı bırakmıştı. İngiltere’deki beş hastane de acil
servisini kapatarak hastalarını yönlendirmek zorunda kalmıştı.
Finlandiya'da 2021 yılında dört farklı sağlık kurumunda radyoterapi gören kanser hastalarının, yapılan siber saldırı sonrası randevularını yeniden planlamak ve ileri bir tarihe ertelemek zorunda kalması da tıbbi cihaz güvenliğinin önemine dikkat çekmişti.
Bu sağlık kuruluşlarının uğradıkları saldırılar, yalnızca elektronik sağlık kayıtlarına erişimi devre dışı bırakmakla sınırlı kalmıyor. Hastaların tıbbi cihazdan belirli bir tedaviyi alamamasına neden olacak şekilde bir kesintiye de sebep olabiliyor. Dünya Ekonomik Forumu, geçen yıl “Sağlık hizmetleri siber güvenliğini güçlendirmezse, yakında kritik durumda olabilir” uyarısında bulundu. İnternete bağlı tıbbi cihazların 2025 yılına kadar ek yüzde 42 oranında büyümesi beklenirken, sağlık hizmeti alınabilecek yerlerin sayısı da artıyor.
Konuyla ilgili açıklamalarda bulunan Siber Güvenlik Uzmanı Can Sobutay, “Birçok araştırma, sağlık sektöründeki siber saldırıların 2021 yılı artışını yaklaşık yüzde 40 olarak gösteriyor. Bir tıbbi cihazın yazılımı olduğu ve kablosuz/kablolu bir bağlantıya bağlı olduğu her durumda, herhangi bir soruna karşı çok dikkatli olmak çok önemli. Bu ürünlerin arkasındaki yazılım, tüm teknolojiler gibi özellikle cihaz daha eskiyse ve siber güvenlik düşünülerek oluşturulmadıysa, siber tehditlere karşı savunmasız hale gelebilir” diyerek uyarılarda bulundu.
Yakın gelecekte sağlık sektöründe devam eden tehditlerin olacağına dikkat çeken Can Sobutay, “Bu tür tehditlerin olması, kuruluşların riskleri azaltması ve 2021'deki sayısız siber güvenlik olayından ders çıkarması için önemli. Güvenlik hususlarını en başından itibaren ürünün merkezine koymak gerekir. Sağlık kuruluşlarının özellikle altyapıyı güvenceye almak, güvenlik açıklarını yamalamak ve sistemleri güncellemek için siber güvenliğe yatırımlarını artırmasının yanı sıra gerekli siber güvenlik bilincini artırmak için personel eğitimleri vermesi de kritik öneme sahip” dedi.
Kalp pilleri internet ortamında ayarlanabilir bir şey
değil
Günümüzde özellikle kalp pillerinin çok fazla
etkilendiği yönünde bir bulgu olmadığını dile getiren Kalp Damar
Cerrahi Uzmanı Prof. Dr. Barış Çaynak, “Aslında kalp pilleri
internet ortamında ayarlanabilir bir şey değil. Sadece kendi aleti
vasıtasıyla yani sol kürek kemiği altından onun üzerine koyulup da
alete bağlandığı vasıtayla bilgisayar ortamı üzerinden kalp piline
ulaşılır ve oradan ayarlanır. Başka türlü hiçbir şekilde ayarlanmaz
ve ayarları değiştirilemez” şeklinde açıklamalarda bulundu.
Hastaların kendilerini strese sokacakları bir durum olmadığına değinen Prof. Dr. Barış Çaynak, “Dikkat etmeleri gereken özel bir durum yok ama genelde biz bu hastalara cep telefonlarını özellikle kalp pillerine yakın tutmamayı öneririz. Özellikle çok fazla X-ray cihazlarından geçmemelerini de söylüyoruz ama bunlar bile bu modern teknolojide çok büyük bir bozukluk yaratmaz" diye konuştu.
Ritim ayarları bozulursa kalp durabilir
Kalp
pillerinin internete bağlı olmadığını ama insülin pompalarının bu
tarz bir bağlantıya ihtiyaç duyduğunu söyleyen Prof. Dr. Barış
Çaynak, “Siber saldırıda ortamdaki her türlü kendi kendine çalışan
elektronik aletlerin ayarları bozulabiliyor veya durabiliyor.
Kalbin ritmi sadece pile bağlı olan bir hastada onun ritim ayarı
bozulursa, hastanın kalbi durabilir. Böyle bir bozukluk olabilir.
Ancak bu global bir şey değil. Yani bütün dünyayı etkileyen bütün
Türkiye'yi, bütün İstanbul'u etkileyen bir şey değil. Kalp pilleri
direkt kabloyla bağlıdır. İnsülin pompaları ve insülin cihazları
biraz daha internet bağımlı işlerdir. Bütün internet ağını ve
kablolu ağı bozacak bir sistem varsa ki bu 100-200 metrekarelik bir
alanda olabiliyor, bu gerçekten kalp pillerini bozabilir ama kalp
pili hastalarının bunun için bir strese girmesi gerekmediğini
düşünüyorum” diyerek her iki tıbbi cihaz arasındaki farkı ve
riskleri sıraladı.
Kalp pili kullananların
paranoya yapmasına gerek yok
“Herhangi bir yerde internet ağının olmamasının ya da bozulmasının,
kalp hastalarının pillerinin de bozulması anlamına gelmiyor” diyen
Prof. Dr. Barış Çaynak, “Bunlar evinden çıkmasın, kımıldamasın
anlamına gelmiyor. Kalp pilleri kabloyla kalbe bağlı, kendi
bataryası olan, pili olan sistemler. Bunlar bu şekilde internet
ortamından manipüle edilen işler değil. Kalp pili kullanan hastalar
daha güvenli ve kalp pil teknolojisi daha eski bir teknoloji.
İnsülin pompası teknolojisi bambaşka bir teknoloji. O yüzden kalp
pili kullananların böyle bir risk altında olduklarını düşünmüyorum.
Böyle bir paranoyaya gerek yok” vurgusunu yaptı.
İlk saldırı 2015 yılında gerçekleştirildi
Medjacking adı verilen ve hastalara doğrudan zarar vermeye yönelik
bu saldırıların ilk kez 2015 yılında yapıldığı biliniyor. Güvenliği
olmayan ve belli bir hedef doğrultusunda yapılmayan bu saldırılar,
ilerleyen yıllarda farklı amaçlarla ve daha gelişmiş bir şekilde
yapılmaya başlandı. 2017 yılına gelindiğinde saldırganların daha
karmaşık yapılar kullanmaya başladıkları da gözlemlendi.
Önlemek için bazı işlemlerin yerine getirilmesi
gerekiyor
“Özellikle pandemi döneminde tüm dünyada sağlık personelinin virüs
saldırılarına odaklanması nedeniyle bu sektörde siber saldırganlara
daha uygun bir ortam bırakıldığı anlaşılıyor" diyen yönetim
bilişimi alanında çalışan Dr. Öğr. Üyesi Yalçın Özkan, sağlık
sektörünü etkileyen en önemli siber güvenlik konularının başında
kimlik avı, fidye yazılımları, veri ihlalleri, içeriden tehditler,
DDoS saldırıları ve bulut tehditlerinin geldiğini söyledi. Sağlık
sektöründe güvenlik açıklarını önlemek için bazı işlemlerin
kurumsal bazda yerine getirilmesi gerektiğinin de altını çizdi.
Bir güvenlik kültürü oluşturulmasına yönelik olarak, özellikle siber güvenlik ve farkındalık eğitimlerine yoğun yer verilmesi gerektiğinin önemine vurgu yapan Dr. Öğr. Üyesi Yalçın Özkan, “Teknoloji değişimleri olası tüm tehditleri göz önüne alarak tasarlanmalı, sistemler arası uyumluluklara dikkat edilmeli. Tüm bilgisayar sistemlerinin siber güvenlik yazılımlarıyla koruma altına alınması söz konusudur. Kritik tıbbi cihazlara olan tehditleri azaltmak için bilgisayarların işletim sistemlerini yükseltme alternatifini değerlendirmekte yarar var” detayını paylaştı.
Kablosuz iletişimle bağlı tüm cihazlarda tehlike
var
Sağlık hizmetlerinde insülin pompalarına yapılan saldırılar bu
sektörün ilgisini epeyce çekmiş olsa da, saldırıların yalnızca bu
cihazlara yapılmadığını vurgulayan Özkan, “Uzaktan kontrol
ihtiyacında olan, kablosuz iletişimle bağlı tüm sağlık cihazlarında
benzer tehlike gözlemlenmiştir. Bunların bir örneği görüntü
cihazlarına yapılan saldırılardır. Sağlık kurumlarında genellikle
görüntü birimleri hastanenin genel bilgi sistemi ile entegre
olduğundan, görüntü birimlerine sızan bir saldırgan burayı bir
'arka kapı' olarak kullanarak hastanenin hayati tüm veri
kaynaklarına erişim olanağı elde edilebiliyor" dedi.
Defibrilatör adı verilen durmuş veya durmakta olan kalbe belli bir süre ve belli bir miktarda elektrik akımı vererek, kalbi normal kardiyak ritmine kavuşturmak amacıyla kullanılan cihazların, bağlı olduğu bilgisayar sistemine yapılan saldırıların da olduğunu söyleyen Dr. Öğr. Üyesi Yalçın Özkan, bu saldırıda cihazın ayarlarının değiştirilerek hastanın sağlığının ciddi biçimde tehdit edilmesinin mümkün görüldüğünü dile getirdi.
“Sağlık cihazlarından birine erişmek için onun bağlı olduğu bilgisayarı ele geçirmenin genellikle saldırgan açısından yeterli olabileceğini söyleyebiliriz” diyen Özkan sözlerini şöyle noktaladı: "Kablosuz veri iletişiminin geçerli olduğu ortamlarda bu tehlike her zaman vardır. Böylece o cihazı kullanan hasta tehdit altına girer. Ancak saldırgan bununla yetinmeyip, ele geçirdiği bilgisayarı kullanarak onun bağlı olduğu sağlık kurumunun tüm bilgisayar sistemlerine sızabilir. Böylece çok daha büyük tahribatlara ve sonuçlara neden olabilir."