ハッカーが主張を証明するために殺人アプリを作った

2年前、研究者のビリー・リオス氏とジョナサン・バッツ氏は、メドトロニックの人気インスリンポンプ「ミニメッド」と「ミニメッド・パラダイム」シリーズに深刻な脆弱性を発見しました。攻撃者はこれらのポンプを遠隔操作で標的にし、患者へのインスリン注入を抑制したり、致死的な過剰摂取を引き起こしたりする可能性があります。しかし、メドトロニック社および規制当局との修正に向けた数ヶ月にわたる交渉は実を結ばず、研究者たちは抜本的な対策に訴えました。彼らは、これらの脆弱性を利用して人を死に至らしめるAndroidアプリを開発したのです。

セキュリティ企業QED Security Solutionsに勤務するリオス氏とバッツ氏は、2018年8月にラスベガスで開催されたセキュリティカンファレンス「Black Hat」で、広く注目を集めた講演を行い、この問題への意識を高めました。この講演に加え、食品医薬品局（FDA）と国土安全保障省も、メドトロニック社と同様に、影響を受ける顧客に対し脆弱性について警告を発しました。しかし、デバイスの修理や交換の計画を提示した企業はありませんでした。最終的に6月末に発効した完全交換プログラムを促進するため、リオス氏とバッツ氏は脅威の真の規模を伝えたいと考えました。

「実質的に、世界中のインスリンポンプすべてに使えるユニバーサルリモコンを作ったようなものです」とリオス氏は言う。「メドトロニックが、研究者が人を傷つけたり殺したりする可能性のあるアプリを開発するまで、この問題を真剣に考えないのはなぜなのか理解できません。ブラックハットで講演した時と3週間前で、何も変わっていません。」

キラーアプリ

糖尿病患者は通常、インスリンの摂取量を自分で管理しています。MiniMedポンプをはじめとする多くのポンプでは、機器のボタンを使ってインスリンの投与量（ボーラス）を投与します。MiniMedポンプにはリモコンも付属しており、車のキーホルダーのような見た目で、介護者や医療従事者が近距離からポンプを操作できます。

しかし、リオス氏とバッツ氏が発見したように、リモコンとポンプが通信する無線周波数を特定するのは比較的簡単です。さらに悪いことに、それらの通信は暗号化されていません。ジェシー・ヤング氏とカール・シュエット氏も加わる研究者たちは、信号を保護するためのシンプルなエンコードと妥当性チェックをリバースエンジニアリングするのは簡単で、攻撃者がキーホルダーのコマンドを盗むことができることを発見したと述べています。ハッカーはすぐに入手できるオープンソースソフトウェアを使用して、正規のMiniMedリモコンを装った無線をプログラムし、ポンプが信頼して実行するコマンドを送信できます。最初の接触を確立した後、ハッカーはシンプルなスマートフォンアプリを介してその無線を制御し、攻撃を仕掛けることができます。これは、テレビのリモコンの代わりになるアプリと似ています。

特定のインスリンポンプを標的にするには、攻撃者はそのシリアル番号を知らなければ、適切な場所にコマンドを送信できません。例えば、電話をかけるには電話番号が必要です。しかし、研究者たちは、悪意のあるリモコンに、あらゆる可能性のあるデバイスのシリアル番号を何度も自動的に調べる機能を追加しました。これは、実質的に、あるエリアにある脆弱なMiniMedポンプすべてに総当たり攻撃を仕掛けることを意味します。この攻撃はリモコンの通信範囲に限定されており、数マイル離れた場所から実行することはできません。しかし、研究者たちは、信号増幅装置を使用すれば、数フィートではなく数ヤードといったより広い範囲をカバーできると指摘しています。

「防御策は何もありません」とQEDセキュア・ソリューションズのシュエット氏は言う。「信号をリバースエンジニアリングすれば、ポンプが受信できるほどクリーンな独自の信号を送信できます。つまり、自分自身をインスリンポンプのキーフォブに変えてしまうのです」。攻撃者はアプリ内のボタンを押すだけで、患者にインスリンを繰り返し投与したり、患者自身のインスリン投与を無効にしたりできる。

デフォルトでは、影響を受けるMiniMedモデルはインスリンを注入するたびにビープ音を鳴らします。これにより、患者はポンプの異常動作に気付く可能性があります。しかし、この種の攻撃は、患者が何が起きているのかを完全に理解する前に、比較的迅速に発生する可能性があります。また、ビープ音を無効にすることを好む患者もいます。

メドトロニックは、ペースメーカーの特定モデルを含む他の埋め込み型医療機器のリモコンや外部プログラマーでも同様のサイバーセキュリティ問題を抱えています。今回の攻撃は車のキーフォブへの攻撃に似ていますが、その危険性は明らかにはるかに高いです。

混乱に備える

メドトロニック社と規制当局は共に、影響を受けるインスリンポンプモデルの欠陥を修正する方法も、リモート機能を完全に無効化する方法もないことを認めています。当初、両団体は、患者に対し、より高度な保護を望む場合はリモートアクセスを手動でオフにするようアドバイスしていました。しかし、それは、介護者がリモートで薬剤を投与するという、便利で、場合によっては命を救う可能性もある機能を放棄することを意味します。さらに、すべての患者がセキュリティ問題について知るわけではなく、そもそも機能をオフにすることを覚えているわけでもありません。

リオス氏によると、研究グループは今年6月中旬にFDA当局に概念実証アプリを実演し、メドトロニックは1週間後に自主回収プログラムを発表した。FDAの戦略的パートナーシップ＆技術革新局の副局長兼局長代理であるスザンヌ・シュワルツ氏はWIREDに対し、最終的な回収はリオス氏とバッツ氏を含む複数の研究者の調査結果を考慮し、メドトロニックとFDAが広範なリスク評価と分析を行い、大規模な交換措置を開始することによる公衆衛生リスクと、機器を現場に放置するだけのリスクを比較検討した結果であると語った。メドトロニックは、リオス氏とバッツ氏の調査結果が出るずっと以前から、ミニメッドポンプのこれらの脆弱性を認識していたと明言している。

「メドトロニックは2011年後半に潜在的な懸念を初めて認識し、その時点でポンプのセキュリティアップグレードを実施し始めました。それ以来、全く異なる方法で通信する新しいポンプモデルをリリースしてきました」とメドトロニックはWIREDへの声明で述べています。「現在の顧客のほとんどは、このサイバーセキュリティの懸念の影響を受けないインスリンポンプを既に使用しています。これらの古いポンプを使用している少数の顧客のうち、どれだけの人が新しいポンプに交換したいと考えるかを予測することは困難です。」メドトロニックによると、現在米国では約4,000台の脆弱なポンプが使用されているとのことです。

FDAのシュワルツ氏は、ミニメッドポンプの該当モデルは米国ではもはや広く使用されていないものの、「世界中で広く使用されている」と述べている。自主回収の発表に時間がかかった理由の一つは、世界中の規制当局と連携し、国際的なレベルで自主回収を実施するのが難しかったためだと彼女は述べている。メドトロニックはWIREDへの声明の中で、「一部の国では、これらの古いポンプを新型ポンプと交換するプログラムを実施している」と述べている。

メドトロニックはまた、脆弱なモデルのポンプを使用している患者に交換品を提供する取り組みについて、「リコール」という言葉を使ったことにも異議を唱えている。「これは安全に関する通知に過ぎません」と同社は述べている。「この通知によって、影響を受けたポンプを返却する必要はありません。」この措置を「自主的なリコール」と呼ぶのが適切かどうか尋ねられたシュワルツ氏は、その表現は正しいと述べ、FDAは現在ミニメッドのリコールを分類する作業を進めており、数ヶ月以内にウェブサイトに掲載する予定だと述べた。

ループ内

シュワルツ氏によると、脆弱なポンプの全面禁止は非現実的であり、逆効果にさえなりかねない。なぜなら、これらのポンプは「ルーパー」と呼ばれる糖尿病患者グループにとって特に重要だからだ。旧型のミニメッドポンプは、まさにその脆弱性とハッキングの可能性ゆえに、切望されている。ルーパーは、旧型のミニメッドポンプの欠陥を利用して、皮下に埋め込まれた持続血糖測定器とポンプを接続する。2つのデバイスが相互に通信（フィードバックループを完成）できるようになれば、患者に必要なインスリン量を自動的に計算し、投与量を自動的に供給するようにプログラムできる。つまり、臓器が通常生物学的に行うのと同じことをデジタルで行う人工膵臓が誕生するのだ。

このバイオハックはFDAの正式な承認を得ていませんが、FDAはメドトロニックなどのメーカーと協力し、正式に承認された「クローズドループ」システムを市場に投入しています。シュワルツ氏によると、FDAは、多くの患者がリスクを認識しながらも頼りにしているデバイスを、リコールによって禁止したり、違法としたりしないよう配慮していたとのことです。

メドトロニック社がこれらの機器の欠陥を初めて認識してから何年も経ち、患者が希望すれば機器を使用でき、希望しない場合は無料で交換できる体制がようやく整ったことに、研究者たちは安堵しているという。しかし、研究者が対策を促すためにキラーアプリの開発といった極端な、あるいは危険を伴う措置を講じる必要があると感じている限り、医療機器の脆弱性開示をめぐる状況は依然として明らかに不安定だ。

「よく考えてみると、患者に『ねえ、もしこの機能をオンにしたければ、見知らぬ人に殺されるかもしれないよ』などと言うべきではありません。全く意味がありません」とQEDセキュリティソリューションズのリオス氏は言う。「これは医療機器ですから、ある程度のリスクは許容されるべきです。しかし、このような安全でない機能は削除されるべきなのに、削除する仕組みがなかったのです。」

FDAのシュワルツ氏は、長年にわたる多くの物議を醸す情報開示にもかかわらず、コミュニケーションは改善しており、FDAは必要に応じて調停者としての立場に立つよう努めてきたと述べている。

「ビリーやジョナサン、そしてチームのようなセキュリティ研究者との関係は非常に重要だと考えています。彼らには脆弱性に関する情報を提供してくれるよう働きかけてきました」とシュワルツ氏は語る。「理想的には、研究者チームがメーカーと緊密に連携し、これらの問題を迅速に解決していくことが不可欠ですが、評価をタイムリーに行うことが難しい場合は、研究者の方々に私たちに相談していただくよう明確に伝えてきました。」

たとえ、人を殺せるスマートフォンアプリが当局の机に落とされることになったとしても。

2019年7月16日午後11時（東部標準時）に訂正し、メドトロニックが2018年8月のリオス氏とバッツ氏の最初の公開情報開示を認めたことを反映しました。

WIREDのその他の素晴らしい記事