近日，一款在美國被廣泛應用于醫療機構的APP被爆存在“后門”，任何人只要擁有硬編碼憑證就可以獲取和修改病人（其中包括即將或正在手術的病人）的私密數據，嚴重影響病人安全。

醫療系統安全現狀

近些年來，醫療行業為了尋求更高效的治療以及更完善的醫療體系，開始越來越依賴于互聯網。而這一措施也暴露出了一個非常嚴重的問題——大量在醫院使用的電腦以及醫療設備正成為非常容易被黑客攻擊的對象。

2015年的一份調查顯示：

目前全球有50億智能連接設備在使用，五年后這個數字將上升到250億。其中很大一部分是醫療設備，如起搏器、藥泵、移動醫療工作臺、家庭監控和私人健身設備等。單美國就有超過1000萬人在使用起搏器、胰島素泵、人工耳蝸等醫療設備。

這些醫療設備中有一些像起搏器一樣只能發送無線數據，另外一些既可以發送也可以接收信息。黑客可以通過控制這些設備竊取醫療數據，嚴重的還會給患者帶來性命危險。

PIMS系統“后門”

近日，一起醫療系統漏洞曝光，傳出問題的正是MEDHOST公司的圍術期信息管理系統(PIMS)，該系統旨在幫助臨床團隊做好術前患者信息管理，但是卻含有一個隱藏的用戶名和密碼，雖然該帳號密碼并未對外公開，但一旦被有心人士取得，則形同“后門”漏洞，讓近日將要進行或剛完成手術病人的相關資料，遭受被竄改的威脅。

該漏洞由美國卡內基美隆大學的CERT安全顧問團隊發現，該團隊主要負責發掘漏洞和解決安全問題。漏洞發現的第一時間，CERT團隊便針對這款舊名VPIMS的系統發出安全通報，該公司并已經推出修補軟體，醫療院所用戶只要升級軟體便可解決該問題。

App的使用者通常是醫務人員和醫生，他們可以得到很多有關患者的數據。在MEDHOST的官方網站上，該公司宣稱：這款APP可以協助麻醉師“獲取重危病患的實時信息，并確保病人病情和狀態保持良好”，以及“獲取病人醫療病史、體檢報告等詳細信息，并可以將具體數據隨時提供給醫療機構的所有臨床醫生。”

目前還無法得知這款可以為手術醫師、麻醉師與護理師提供實時病人狀態與病歷資訊的系統，已經賣給了多少醫療機構？是否已經銷售到了海外市場？不過，據說MEDHOST公司的客戶有超過1000家醫療機構。

截至目前，Medhost公司的發言人并未對此事作出回應。

頻發的醫療災難

此前，美國醫療系統的網絡已多次遭到黑客攻擊。

2009年，美國衛生和人道服務部網站發生過信息泄露；

2011年，佐治亞州勞倫斯維爾的醫療中心Gwinnett Medical Center因為一種病毒使其電腦系統陷入癱瘓，對所有非急診病人關閉3天；

2014年6月，蒙大拿州公共衛生部的服務器遭到黑客攻擊，多達100萬人受到影響；

2014年8月，美國第二大上市醫院集團——Community Health遭到黑客攻擊，被竊信息包括患者的姓名、地址、生日和社會安全號碼等；

2016年2月，位于洛杉磯的好萊塢長老會醫療中心遭到黑客勒索軟件攻擊，支付1.7萬美元后恢復；

2016年2月，兩家德國醫院——盧卡斯醫院、Klinikum Arnsberg醫院受到勒索軟件攻擊；

2016年5月，美國Merge Health care公司，一臺關鍵醫療設備在心臟手術期間因為軟件所運行的PC上安裝的殺毒軟件的定時掃描而崩潰。

結語

雖然，較于金融、軍事以及各大公司網絡，醫療行業網絡的被黑客攻擊的機率的確少得多，但是，一個明顯的趨勢：醫療行業已經逐漸成為所有系統中最脆弱的一個。

其中一個最重要的原因就是醫療行業對待網絡攻擊的懈怠態度。美國約翰霍普金斯大學信息安全協會的計算機科學家以及技術總監Avi Rubin表示：

“醫療行業系統是我見過漏洞最多的一個系統，如果金融行業在對待網絡安全問題跟醫療行業的態度一樣，那么估計沒人有膽量把錢交給這些機構了。”

隨著醫療設施遭受黑客攻擊的威脅加劇，且攻擊形式日趨多樣性，比如針對性攻擊、勒索軟件攻擊、DDoS攻擊等，醫療設備廠商和醫院技術團隊應該重視網絡安全防范，多關注一些醫療設備安全問題，避免成為黑客的攻擊目標。