电子医疗设备理应辅助拯救人类生命，但它们极度缺乏安全的状态，却可能导致大量的死亡。
在上个月，美国肯塔基州举行的DerbyCon大会上，3名对黑客活动感兴趣的医生，讲述了他们对医疗设备安全漏洞的分析。情况并不乐观。据称，平均来看，一台联网设备有大约1000个可利用CVE漏洞，某些甚至达到了1400个之多。
这些漏洞并非全都能远程利用，但很多确实可以被远程操控，而且，“只需1个，1个漏洞就能让设备沦陷”。大西洋理事会网络国策倡议理事，上述3名演讲医生之一的约书亚·科曼如是说。
政府对此毫无应对，医院显然也没有——85%的美国医院没有任何IT安全员工。
4年前，科曼和其他人成立了“我是骑兵”组织，调查并处理影响公共安全的计算机安全事件。DerbyCon上与他一同发表演说的，还有他的副理事博·伍兹，具信息安全思维的克里斯蒂安·达梅夫医生和杰夫·土利医生。
达梅夫医生强调了WannaCry勒索软件的传播对英国医疗系统的影响，并表示，美国没感染类似恶意软件真的是非常非常幸运。对医疗黑客活动的主要恐惧，在于恶意软件会中断计算机和联网设备，以致病患无法及时受到关键救护。
面对中风或心脏病突发的病人，你只有很短的时间窗口可以抢救并防止造成更大损伤。过长的延迟可能不会致死，但肯定会造成瘫痪。我很确定，绝对有人因为“WannaCry”攻击而死去。
几位医生与亚利桑那州凤凰城官方合作，进行了一次模拟演练，结果令人警醒。为期3天的演练模拟了一场网络灾难：第1天，城里1家医院感染破坏性恶意软件，造成基础服务瘫痪；第2天，对城里多家医院的另一起数字袭击爆发；第3天，类似2013年波士顿马拉松爆炸案的物理攻击袭来。
令人惊异的是，模拟演练算出的死亡人数，大多出现在第一天。随着电梯和暖通空调系统的宕机，还有药品冷藏系统的失效，病患不得不来回周转于其他医疗设施中，其中一些病患没能撑到目的地。
到了第2天，因未接受治疗的患者数量实在过于庞大，医生们不得不从标准收诊操作切换到灾难伤患分诊流程。通常，患者是按疾病或受伤严重程度从重到轻收诊的，但启动灾难分诊流程，医生就不得不优先选择那些可以切实救活的，而让伤重的等死。
模拟演练中，所有这些死亡案例，都是被简单的黑客活动导致的，甚至都不用物理接触到医疗设备就能利用那些漏洞。很多老旧设备压根不能打上补丁，一旦进入其网络或在公共互联网上发现它们，利用起来易如反掌。而新系统的制造商响应安全漏洞的速度，也是慢得令人心酸。
其中一个明显案例，就是圣犹达起搏器事件。在安全公司通告该起搏器固件漏洞之后整整1年，这家医疗设备公司才放出补丁并获准使用，且这种情况并不鲜见。
医院甚至不能重新构建系统和设备以解决糟糕的设备安全问题。基本上，新医疗设备通过美国监管机构的批准，需要花费6年左右，如果设备需要植入人体，这个时间会长达10年。这漫长的几年间，设备网络和工具包就这么大喇喇地暴露在任何侵入医疗设施的恶意软件眼皮底下。
相关阅读
