¿Se puede hackear un marcapasos?

Es toda una demostración del alcance de la tecnología para mejorar nuestra calidad de vida. Sin embargo, otras investigaciones han discutido los riesgos potenciales de seguridad y privacidad que estas máquinas plantean, pues pueden ser hackeadas de muy diversas maneras: mediante las conexiones inalámbricas que emplean (Wi-Fi, Bluetooth…), por acceso físico al dispositivo, mediante un UBS… «Que los dispositivos médicos sufran ataques informáticos no es frecuente, pero es un riesgo que no podemos pasar por alto», destaca expresa Eusebio Nieva, director técnico de la empresa de seguridad Check Point para España y Portugal. Sobre todo porque, en algunos casos, aunque pocos, se han producido muertes por este motivo.

«Toda la fantasía de la época de la Guerra Fría se hace realidad en este tipo de ataques que hacen posible matar a gente de forma selectiva», expresa Nieva. El especialista considera que esta forma de agresión tan particular «podría ser explotada, especialmente, por organizaciones gubernamentales de determinados regímenes para eliminar a opositores políticos, de la misma manera que se producen ataques por otros medios más tradicionales, como el uso del veneno. El principal peligro es que serán mucho más difíciles de detectar», asegura.

A nivel ciudadano, las motivaciones de un ciberdelincuente para realizar tales acciones son variadas: adquirir información privada para obtener ganancias financieras o ventajas competitivas; dañar la reputación de un fabricante de dispositivos; por la simple satisfacción del ego del atacante; o por sabotaje por parte de un empleado descontento, un cliente insatisfecho o un terrorista para infligir lesiones financieras o personales. A pesar de todo, Nieva no cree que estos ataques se vayan a 'industrializar', pues «hackear esta tecnología requiere especialización y el beneficio económico que se consigue es menor que con otros ciberataques convencionales, como los códigos maliciosos de tipo 'ransomware', que son capaces de secuestrar los equipos de un usuario o compañía para, posteriormente, pedir un rescate a cambio de recuperar el control.

Es lo que ocurre, por ejemplo, con las campañas de correos electrónicos de 'phishing' que suplantan la identidad de distintas entidades, como la Organización Mundial de la Salud (OMS), para que caigamos en la trampa de pulsar en un determinado link o descargar cierto archivo que, en realidad, es un virus.

Sea como sea, está claro que existe un peligro real en el hecho de que los aparatos médicos tengan vulnerabilidades informáticas. Sin ir más lejos, los fallos de software y seguridad fueron la causa de la retirada del mercado del 24% de los dispositivos médicos en Estados Unidos en 2011, de acuerdo con la Food and Drug Administration (FDA).

– ¿Qué podemos hacer al respecto?

– Los pacientes o los médicos nada, porque la configuración de estos equipos corresponde a sus fabricantes. Por eso, la responsabilidad máxima recae sobre estos últimos, que no solo tienen que diseñar los aparatos médicos tomando las medidas sanitarias adecuadas para que sean seguros para la salud, sino también a nivel cibernético –declara Nieva.

Él destaca algunas técnicas para hacerlo. «La programación segura, el cifrado en las comunicaciones (para que la fuga de datos sea más difícil), factores de autenticación fuertes (para que quien haga cambios en la configuración sea quien dice ser)... Al final, las técnicas de seguridad existen, otra cosa es que se implementen correctamente», afirma.

Otro aspecto a tener en cuenta es que los centros de control a los que están conectados todos estos aparatos también pueden sufrir ataques, y de forma mucho más sencilla porque sus sistemas son más generalistas. «Es algo frente a lo que nos tenemos que proteger también. Desconectando esos dispositivos médicos del resto de las redes de la empresa, aislándolos de alguna manera o teniendo un control mucho mayor sobre ellos para que un ataque general no les afecte», sostiene Nieva.