Muchos creen que el ser humano está a las puertas de su siguiente evolución gracias a los implantes tecnológicos. Gracias a algunos de estos aparatos nuestras vidas ya son mucho más largas y apacibles; como por ejemplo, los marcapasos y otros implantes cardíacos. Sin embargo, estos dispositivos también pueden ser peligrosos, sobre todo si sus fabricantes ignoran los agujeros de seguridad que presentan.

Eso es lo que ha denunciado el departamento de seguridad nacional de EEUU sobre algunos productos de Medtronic, el mayor fabricante de dispositivos médicos del mundo. En concreto, el problema está en sus desfibriladores diseñados para ser implantados en pacientes con problemas del corazón; por culpa de un serio fallo de seguridad, un atacante podría tomar el control de estos desfibriladores y causar daños al paciente. Estos dispositivos se han vendido en todo el mundo, y algunos de ellos aún están a la venta.

Un bug permite hackear implantes cardíacos

Los desfibriladores implantables son dispositivos pequeños y parecidos a los marcapasos; mientras que estos últimos controlan el ritmo cardíaco (por ejemplo, si el corazón empieza a latir más despacio), un desfibrilador se encarga de monitorizar y corregir ritmos anómalos en ocasiones concretas. Funcionan enviando pulsos eléctricos al corazón cuando detectan problemas como arritmias cardíacas. Además, algunos modelos de desfibriladores también pueden actuar de marcapasos.

Por lo tanto, estos dispositivos son sumamente importantes para personas con problemas de corazón; tanto para corregir posibles arritmias en el momento como para registrar el funcionamiento del corazón y dar con un tratamiento adecuado. Y pese a eso, se calcula que unos 750.000 dispositivos semejantes tienen grandes agujeros de seguridad.

En total, unos 20 modelos diferentes de Medtronic tienen vulnerabilidades que permitirían que un atacante tomase el control; no solo afecta a desfibriladores implantables, sino también a modelos de cama y monitores, que permiten cambiar la configuración y el funcionamiento del dispositivo. La vulnerabilidad se encuentra precisamente en la comunicación entre estos dispositivos y el desfibrilador; un atacante podría inyectar datos en la comunicación y modificar el comportamiento del dispositivo implantado.

Las comunicaciones no están cifradas, ni requieren ningún tipo de autenticación. Por lo tanto, el dispositivo ejecuta todas las órdenes que recibe sin comprobar si son realmente verídicas.

El peligro no está del todo claro aún

El hacker tendría que estar en una zona cercana al paciente para poder interceptar la comunicación de esta manera. Una vez que hubiese tomado el control, podría recibir todos los datos del paciente y modificar la configuración del desfibrilador. No está claro hasta qué punto esto sería un peligro para el paciente; potencialmente, la configuración se podría cambiar para enviar impulsos eléctricos aunque no hiciesen falta, o que el desfibrilador no funcionase cuando el paciente tuviese una arritmia.

Pese a este peligro, Medtronic ha intentado calmar a los pacientes, afirmando que los dispositivos tienen medidas de seguridad que impiden provocar grandes daños; por ejemplo, en teoría son capaces de apagar las comunicaciones inalámbricas si reciben comandos inusuales. Además, también está monitorizando su red en busca de posibles ataques. Pese a esto, Medtronic ha pedido a los pacientes que actualicen sus dispositivos y que sólo usen los modelos que sus médicos les hayan proporcionado.