病院の空気圧搬送システム(PTS)に重大な脆弱性「PwnedPiper」が発覚―サイバー攻撃の脅威と対策

パソコンやスマート家電に続き、今度は病院で血液検体や薬剤の搬送に使われている空気圧搬送システム(PTS:Pneumatic Tube System)が、深刻なサイバー攻撃の標的になりつつあります。「PwnedPiper」と呼ばれる9つの脆弱性のセットは、病院システム全体の乗っ取りにつながる可能性さえあります。

この脆弱性を発表したのは、米国のサイバーセキュリティ企業Armisです。同社によると、Swisslog Healthcareが導入したTranslogic PTSシステムに攻撃に対する脆弱性があることが判明しました。世界最高水準とされるこのシステムは、米国の主要病院の約80%、そして世界中で約3,000の病院に導入されています。

これらの脆弱性はどれほど危険なのか?

Armisの研究チームに所属するBen Seri氏とBarak Hadad氏は、攻撃者がTranslogic PTSステーションに侵入し、対象病院のPTSネットワーク全体を乗っ取る可能性があると指摘しています。さらに、攻撃者は病院データを流出させたり、ランサムウェア攻撃を仕掛けたりすることも可能です。

PTSはもともと、血液、組織、その他の検体を診断ラボへ運ぶための院内物流・搬送システムとして設計されました。このシステムが悪用されれば、重要なデータの漏洩、情報の改ざん、ランサムウェアの展開、さらには病院の業務を停止させかねない中間者(MitM)攻撃などが実行される恐れがあります。

PwnedPiperに関する詳細なレポートは、Armisの公式発表をご確認ください。

Swisslog Healthcareはどのように対応したのか?

Swisslog Healthcareは、「空気圧搬送ステーションが侵害されるのは、悪意ある攻撃者が病院のITネットワークにアクセスできる場合に限られる」と説明しています。ファームウェアはPTSノードに展開されているため、ハッカーがさらなる被害をもたらすには、これらの脆弱性を実際に悪用できる環境が必要となります。

また、同社はすべての顧客に対し、最新ファームウェアであるNexus Control Panelバージョン7.2.5.7へのアップデートを推奨しています。これにより、実際の運用環境における欠陥から生じうる潜在的なリスクを回避できます。

ArmisとSwisslogはどのように協力したのか?

Armisは2021年5月1日にSwisslogへ連絡し、報告書を提出しました。それ以来、両社はファームウェアのアップデートだけで世界中のPTSを保護できるパッチの開発に共同で取り組んできました。両チームは昼夜を問わず脆弱性の修正に努め、システムを攻撃者から確実に守る体制を整えてきました。

さらに興味深い発見として、脆弱性は特定のハードウェアに限定されていることが明らかになりました。HMI-3回路基板はNexus™パネル内に設置され、イーサネット接続を担います。このタイプの機器は、主に北米地域の病院に導入されています。

Swisslog Healthcareのチーフ・プライバシー・オフィサーであるJennie McQuade氏は、これらの脆弱性は特定の変数の組み合わせが存在する場合にのみ発生し、すべてのデバイスで起こるわけではないと指摘しています。さらに同氏は、空気圧搬送ステーションでの潜在的な侵害は、悪意ある攻撃者が病院のITネットワークに容易にアクセスできる場合に限られ、それは施設側の管理上の問題であると述べています。

同氏は次のように語っています。「当社は、イーサネット経由で接続されたHMI3パネルを含むハードウェアを使用している医療施設に影響を与える可能性のある脆弱性について、調査、検証、確認を行いました」「Swisslog Healthcareは、セキュリティプログラムと業界動向を継続的に監視し、顧客に予防的な保護を提供することをお約束します。私たちは、世界中の医療機関から信頼されるプロバイダーであることに感謝しています」

脆弱性は、ファームウェアを更新するソフトウェアのリリースによって解消されました。残りの脆弱性への緩和策については、顧客がいつでも参照できる「Network Communications and Deployment Guide」に詳細が記載されています。

Swisslogカスタマーケアチームは、既存のお客様からの質問に24時間365日対応しており、800-396-9666までお電話いただけます。

まとめ:病院を取り巻くPTSセキュリティの脅威

病院は常に、最新の技術と医薬品による患者ケアに注力してきました。しかし、医療環境の安全を確保するためには、運営やインフラのセキュリティにも目を向ける必要があります。患者とともに、患者に関するあらゆるデータも病院の責任範囲であり、プライバシーと機密性を維持するためには、常にシステムを最新の状態に保つことが不可欠です。