Een beveiligingsonderzoeker claimt de firmware in een pacemaker ongemerkt draadloos te kunnen manipuleren als gevolg van een ernstig beveiligingsgat. De firmware zou aangepast kunnen worden met potentieel dodelijke gevolgen.
Dat meldt SC Magazine op basis van een presentatie van beveiligingsonderzoeker Barnaby Jack op een beveiligingsconferentie in Australië. De onderzoeker, werkzaam bij de firma IOActive, claimt dat hij via reverse engineering van de zender in een pacemaker de firmware kan manipuleren doordat een niet nader omschreven 'geheime functie' deze mogelijkheid biedt. Jack toonde eerder al beveiligingsproblemen aan met insulinepompen.
Normaliter worden de zenders in pacemakers gebruikt om met behulp van uitleesapparatuur telemetrische data op te vragen en 'onderhoud' te plegen aan de software, maar de onderzoeker stelt dat een niet nader genoemde fabrikant deze functie zeer slecht heeft beveiligd. Dit zou komen doordat de firmware uitsluitend het serienummer en apparaatnummer gebruikt ter authenticatie. Deze zouden eenvoudig draadloos zijn te onderscheppen. Vervolgens kan een aanvaller met een zelfontwikkelde zender de software in de pacemakers manipuleren. Bovendien zijn volgens Jack zelfs gebruikersnamen en wachtwoorden van vermoedelijk de ontwikkelserver van de fabrikant te zien.
Volgens Jack is het mogelijk om op een afstand van circa 9 meter ongemerkt de pacemaker-firmware aan te passen. Zo zou een aanvaller hartpatiënten met een pacemaker of cardioverter-defibrillator een schok van 830V kunnen toedienen met potentieel dodelijke gevolgen. Het zou theoretisch zelfs mogelijk zijn om een worm te schrijven die zich van hartpatiënt naar hartpatiënt voortplant. Jack werkt naar eigen zeggen aan adminsoftware, met de codenaam Electric Feel, die automatisch zoekt naar kwetsbare implantaten.
Jack, die met zijn presentatie de fabrikanten van medische apparatuur wil wakkerschudden, stelt dat de producenten aansprakelijk moeten worden gehouden voor gevaarlijke gaten in de beveiliging van potentieel dodelijke implantaten. Momenteel zouden fabrikanten erin slagen om onder hun verantwoordelijkheid uit te komen. Ook roept de beveiligingsonderzoeker fabrikanten van implantaten op om het totale veiligheidsmodel op de schop te nemen en te beginnen met het toepassen van encryptie en de introductie van een deugdelijk authenticatiemodel.
Het is niet de eerste keer dat onderzoekers waarschuwen voor lekken in de software van cardioverter-defibrillators en pacemakers; in 2008 kwamen onderzoekers van het Medical Device Security Center tot soortgelijke conclusies. Toen zouden er nog geen gevallen van geslaagde aanvallen op patiënten met een pacemaker bekend zijn, maar het is onduidelijk of dit nog steeds het geval is.