ネットに繋がった医療機器のヤバすぎる実態
多くの医療機器がサイバー攻撃のリスクにさらされている（写真：mits / PIXTA）
テレビ、ブルーレイレコーダー、ウェブカメラ、AIスピーカー。いわゆるIoT機器を標的にした、新手のサイバー攻撃に世界が戦々恐々としている。従来のウイルスと異なり、パソコンやスマートフォンではなく、ネットにつながる無防備な家電や機器のすべてが対象になる。第4次産業革命といわれ、社会に大きな変革をもたらすとされるIoTだが、本稿では医療機器へのハッキング実験をテーマに、その利便性の陰に忍び寄る新たな脅威を探る。
高まる医療機器へのサイバー攻撃のリスク
インターネットに接続される心電計や血圧計などの医療機器のIoT化は、診断の迅速化や正確性の向上につながるとされ、効率的な医療の実現への貢献が期待されている。市場調査会社Grand View Research社によれば、世界のIoT市場は2022年におよそ4100億ドルに達すると見られており、今後成長が予想されるホットな分野だ。
しかし、ほかのIoT機器同様、医療機器もインターネットにつながることで、犯罪者に狙われるリスクに直面する。たとえば、アメリカ政府はセキュリティ上の弱点が見つかったIoT機器の一覧を公開しているが、家電と並んで、糖尿病の治療装置、薬剤の管理システムなどの医療機器も目立つ。
取材班は、医療機器へのハッキングにくわしいある人物とアメリカ・ラスベガスでコンタクトを取ることに成功した。ビリー・リオス氏だ。GoogleやMicrosoftなど世界的IT企業でセキュリティに携わった後、現在はパートナーのジョナサン・バッツ氏とともに情報セキュリティ企業・ホワイトスコープ社を立ち上げ、幅広い分野におけるセキュリティリスクを調査・分析している。
リオス氏らは、サイバー攻撃に対して脆弱性のあるIoT機器をインターネットで探すためのソフトウェアも開発している。これを使えば、SHODANをはじめとした同種の「脆弱性検索サイト」では検出されないものまで特定できるという。リオス氏は次のように話す。
「たとえば、『銀行』『日本』で検索すると、その銀行の所在地もインターネット上の住所であるIPアドレスもわかります。その気になれば銀行のある建物にアクセスし、ハッキングを試みることも可能です。それは建物のなかにあるさまざまな装置、たとえば、空調、換気、ボイラーのシステムなどにアクセスできるということでもあります」
取材班も、リオス氏が検出した「ハッキング可能な建物」を一部見せてもらった。そのリストのなかには、病院もあった。もし攻撃者がこうした病院のシステムに不正にアクセスすれば、病棟が停電になったり、エアコンが極端な温度に設定されたり、手術中に照明が落ちたりすることもありうる。
「病院がインターネット上にある、これは非常に危険なことです」
リオス氏の言葉どおり、まさに患者の命が脅かされかねない。実際、2016年にはアメリカ・ハリウッドのある病院がランサムウェアに感染し、院内のネットワークが使用不能になるという事態が引き起こされた。病院側は攻撃者の要求に従い、ビットコインで1万7000ドルを支払うことになったという。攻撃者側がセキュリティ対策の甘い病院のネットワークを悪用する犯罪行為は、すでに現実のものとなっているのだ。
削除されるべきデータが残ったままの点滴装置
2015年、リオス氏はコンピュータ制御式の薬剤点滴装置の脆弱性についての発表を行っている。取り上げられた製品が広く普及していたこともあり、その発表は大きな反響を呼んだ。
「点滴装置の乗っ取りは、非常に簡単です」。そう語るリオス氏に、点滴装置のハッキングを実際に目の前で見せてもらうことにした。
リオス氏は、こちらが用意した点滴装置を見るなり、「この装置は少し前まで病院のシステムに接続されていたものですね」と見破り、使用していた病院名まで特定した。
「レンタルの医療機器には、本来なら返却時にすべて消去されるべきデータが残ったままになっているケースが多いのです。この点滴装置にも、病院のWi-Fiのパスワードが記録されています。この病院にパソコンを持っていってパスワードを打ち込めばWi-Fiにつながり、さまざまな医療機器が接続されているネットワークにアクセスできます。そうすれば、機器をコントロールして、最悪、病院にいる患者を殺めることも可能です」
今回用意した点滴装置は、病院内のネットワークに接続して、医師や看護師が離れた場所から薬の量などを調節できるようになっている。しかし多種多様な脆弱性があるとして、医療機器としては初めてFDA（アメリカ食品医薬品局）からサイバーセキュリティ勧告を受けたという。
点滴装置が勝手に動き出した！
私たちが点滴装置に生理食塩水の輸液パックをセットし、まずは通常のスピードで生理食塩水が送り出されるように設定する。ポタッ……ポタッ……。数十秒に一滴、ゆっくりとした適度なスピードで一滴一滴注がれる。
「今からこの点滴装置を乗っ取ります」
ハッキングが始まった。リオス氏によれば、まず、ネットワークを防御するファイアウォールを無効にするために設定を変更するのだという。
「ファイアウォールはいわば、�爛疋△慮�〞のようなものです。泥棒は鍵を開けて家の内部に侵入し、奥に進んで、なかにあるものを盗みます。それと同様に、ネットワークに接続し、ファイアウォールを無効にしたら、次は実際に点滴装置をハッキングします」
ネットに接続される点滴装置は、パスワードがないと外部から操作できないようになっている。しかし、プログラムに弱点があり、あるコマンドを送れば、本来なら製造したメーカーしか知らないはずのパスワードが見えてしまうというのだ。
固唾をのんで見守ること40分。パートナーのバッツ氏が「乗っ取ったよ」とつぶやいた。
パスワードらしい文字列を見つけたようだ。バッツ氏がそれを入力する。すると、誰も触れていない点滴装置の液晶パネルの画面が切り替わり、遠隔操作でパスワードが入力され、管理者画面が表れた。そして、薬剤の投与量などを変更する設定画面へと、勝手に替わる。目の前の点滴装置のコンピュータが、まるで自らの意思を持っているかのように、パスワードや種々の設定を変更しているように見える。
そして、次の瞬間。ポタポタポタポタ……。チューブから生理食塩水が大量に流れ出した。装置を乗っ取ったふたりは、投与量を増やすコマンドを送ったのだ。
「私たちは、装置の製造者しかアクセスできない『管理者モード』『サービスモード』『テストモード』のすべてのパスワードを取得しました。通常であれば、これほど大量の薬剤を患者に注入することはけっしてありません。しかし、『テストモード』に設定すれば、薬剤の投与量を限界値以上まで増やすこともでき、なおかつその状態を攻撃者が望むかぎり続けることができるのです」
「インターネットにつながる」ことの本当の意味
一度乗っ取れば、投与量を増やすだけではなく、点滴自体を止めることも、さらにはほかの薬剤を投与するなどの指示を送ることも、投与される患者の名前を変更することもできてしまう。IoT機器へのサイバー攻撃による、殺人の危険性。セキュリティ対策を怠ったときに何が起こりうるのか、その恐ろしさをまざまざと見せつけられた瞬間だった。
「今やX線装置から心肺蘇生に使う除細動器まで、さまざまな医療機器がインターネットにつながっています。インターネットにつながっていれば、ハッカーが目ざとくそれらを見つける危険性も高まるでしょう。しかし、病院側は機器がインターネットにつながっていることの本当の意味を認識していない場合があり、それがどれだけ危険なことなのか、まだ気づいていません」
リオス氏は、この点滴装置の弱点をすでに政府に報告し、対策を促している。しかしまだまだ数多くの医療機器に、サイバー攻撃のリスクが潜んでいるという。改良が進んでいるというものの、あらゆる医療機器はハッキングされる危険性があるのだ。
いや、医療機器だけではない。私たちの家庭にあるIoT家電もサイバー攻撃を受けるリスクがあるという点では同じことだ。
一度自分が使っているIoT機器を見渡してみてはどうだろうか。本当にインターネットにつなぐ必要があるのかどうか。そしてリスクがあっても使いたいIoT家電はどれなのか。それを確認しておくことはけっして損ではないはずだ。
