Doğurganlık takip cihazı Mira Ultra 4'te 20 açık bulundu

Evde hormon düzeyi ve yumurtlama döngüsü izlemek için kullanılan doğurganlık takip cihazları son on yılda büyük ilgi gördü. Ancak Northeastern Üniversitesi'nde yüksek lisans öğrencilerinin yaptığı bir çalışma, bu kolaylığın ciddi bir güvenlik bedeli olabileceğini gösterdi. Öğrenciler, popüler cihazlardan Mira Ultra 4'te 20 güvenlik açığı tespit etti.

Öğrenciler neyi buldu?

Üniversitenin Archimedes Sağlık ve Tıbbi Cihaz Siber Güvenliği Merkezi'nde çalışan öğrenciler, zafiyetlerin hem cihazın kendisinde hem de eşlik eden mobil uygulamada bulunduğunu bildirdi. Bulgulara göre saldırgan, Bluetooth bağlantısıyla cihaza erişebiliyor, şifrelenmemiş bilgilere ulaşabiliyor ve cihaza yanlış sağlık verisi yükleyebiliyordu.

Sorun yalnızca sahte veri göndermekle sınırlı kalmıyordu. Çalışmada yer alan yüksek lisans araştırmacısı Narmina Karimova, kullanıcıların kimliğine tamamen bürünmenin de mümkün olduğunu söyledi. Karimova'nın ifadesiyle cihaz ve uygulama üzerinde "tam bir devralma" yapılabiliyordu. Test sırasında 600 binden fazla Mira hesabının bu açıklardan etkilenebilecek durumda olduğunu da ekledi.

Aynı merkezde araştırmacı olan Muzzammil Mohammed ise kişilerin hassas sağlık bilgilerinin kötü niyetli kişilerin eline geçme ihtimaline dikkat çekti. Karimova'ya göre bu durum, doktor randevularını cihazın verilerine göre planlayan kişileri doğrudan etkileyebilirdi.

Bildirim ve üreticinin yanıtı

Merkez, Kevin Fu liderliğinde tıbbi cihazların siber güvenlik risklerini test ediyor ve analiz ediyor. Öğrenciler bulgularını ABD Gıda ve İlaç Dairesi'ne (FDA) ve dijital teknolojilerin güvenliğiyle ilgilenen federal kurum CISA'ya iletti. Cihazın üreticisi Quanovate Tech Inc. de süreçte bilgilendirildi.

Şirket, Ağustos ayında yaptığı basın açıklamasında güvenlik açıklarının temel nedenini belirlediğini ve yazılım güncellemeleriyle düzeltme yayımladığını duyurdu. Ancak şirket, düzeltmeye ilişkin ek açıklama talebine yanıt vermedi. Bu nedenle çözümün kapsamı ve etkinliği konusunda bağımsız bir doğrulama bulunmuyor.

Sınıf ödevinden DefCon sahnesine

Çalışma aslında tıbbi cihaz siber güvenliği dersinde verilen bir proje olarak başladı. Öğrencilerden cihazı incelemeleri isteniyordu, açık bulmaları beklenmiyordu. İlk boşluklar ortaya çıkınca ekip daha derine indi. İki ay boyunca hem konuyu okudu hem de üst üste yeni zafiyetler buldu. Karimova, bunun hepsi için yeni bir dünya olduğunu, bir dersin DefCon'da sunuma dönüşeceğini hiç düşünmediklerini söyledi.

Öğrenciler bulgularını yaz aylarında Las Vegas'ta düzenlenen, siber güvenlik uzmanlarının, akademisyenlerin ve meraklıların katıldığı yıllık hackleme konferansı DefCon'da sundu. Raporun son haline getirilmesine Mühendislik Fakültesi'nde program yöneticisi olan Matthew Braun yardım etti. Braun, öğrencilerin başka mühendislerin ne düşündüğünü çözmek zorunda kaldığını belirtti: "Burada ne yapıyorlar ve bu nasıl kötüye kullanılabilir?" sorusunu sormaları gerekiyordu. Ona göre bu, yüksek düzeyde teknik bilgi gerektiriyordu.

Neden önemli?

Kadın sağlığı teknolojileri hızla büyüyor. Pazar araştırma şirketi Research and Markets, küresel kadın teknolojisi pazarının 2035'e kadar 255 milyar dolarlık bir değere ulaşmasını bekliyor. Büyüme arttıkça bu cihazların topladığı veriler de daha değerli ve daha hassas hale geliyor. Hormon düzeyleri, döngü bilgileri ve doğurganlık verileri çok kişisel sağlık bilgileridir. Bunların sızması ya da değiştirilmesi, mahremiyet ihlalinin ötesinde yanlış tıbbi kararlara da yol açabilir.

Bu tür cihazlar çoğu zaman hastane ekipmanları kadar sıkı denetlenen ürünler olarak algılanmıyor. Oysa telefonla eşleşen, bulutla veri paylaşan her ürün saldırı yüzeyi yaratır. Bluetooth bağlantısının güvenliği, verilerin şifrelenmesi ve hesap doğrulamanın sağlamlığı, tüketici sağlık ürünlerinde de temel gereksinim sayılır.

Ne değişecek?

Üretici yazılım güncellemesiyle düzeltme yaptığını söylüyor. Kullanıcılar açısından en pratik adım, cihazın ve uygulamanın güncel sürümde olduğundan emin olmak. Daha geniş açıdan bakıldığında, bağımsız araştırmacıların bulduğu açıkların sorumlu biçimde bildirilmesi, üreticilerin ürünlerini daha erken aşamada güvenli tasarlamasına baskı oluşturabilir.

Braun'a göre bu tür projeler yalnızca ürünleri değil, sektörü de güçlendiriyor. Çoğu genç siber güvenlik çalışanı işe başladıktan sonraki ilk beş yılda böyle bir proje yapma fırsatı bulamıyor. Öğrenciler ise mezun olmadan bu deneyimi kazandı; Braun'ın deyişiyle işverenlerinin yanında ilk günden itibaren üstün performans gösterecekler.