LifecarePCA 是一款面向医院患者的药物输注机，旨在将正确剂量的药物直接注入需要的人的胳膊。当它正常工作时，机械精度可以阻止人为错误并减轻护理负担。然而，如果有人恶意控制该系统，他们就可以一次性将整瓶止痛药注入受害者体内。安全研究员 Billy Rios 近期的研究表明，LifecarePCA 系统以及 Hospira 公司的另外五款药物输送机型号都容易受到黑客攻击，黑客可以改变输送药物的剂量。
这些泵会访问一个药物库——一个数字参考库，其中包含重要信息，例如基于患者年龄、性别和体重的适当剂量限制，以防止机器意外给予有害剂量。该机器非常信任，因此每当它访问医院网络上的药物库时，它都会假设这是正确的药物库，并且不会要求进行身份验证。这意味着任何能够访问医院网络的人都可能上传一个新的药物库，规定可以给予更多或更少的给定药物。
仅此一项就已经很糟糕了。更糟糕的是，设备中存在一个独立的漏洞，允许攻击者修改固件，从而指示设备给予不准确的剂量。固件由制造商预装在设备上，是一种通常不引人注意的后台软件。当制造商发现其产品存在错误时，他们会发布固件更新，但大多数用户从未直接与之交互。
然而，公司发送固件更新与机器检查更新之间没有任何身份验证过程。因此，黑客有可能发送一个狡猾的“固件更新”，欺骗机器输送致命剂量的药物。正常情况下，机器会根据药物库检查这些剂量，如果剂量不正确，则会发出警报，但修改过的药物库意味着高剂量将不会被注意到。根据 Rios 的研究，虽然此类恶意攻击的后果非常严重，但如果公司能够让机器需要公司进行身份验证，这样只有官方升级才能通过，那么攻击的可能性就会大大降低。
与大多数医疗器械黑客攻击一样，令人震惊的更多的是“我不敢相信他们把门留开了”，而不是“这些机器竟然会诱导致命的篡改”。像 Rios 这样的安全研究人员会提前寻找公司可能没有想到或可能在犹豫不决的设备中的问题，然后再将其变成致命的漏洞。Rios 就此向负责监管医疗器械的 FDA 报告了他的初步研究。上个月，他们发布了一份关于这些泵弱点的警报。
