😱 Il caso ST JUDE: i pacemaker che fecero crollare Wall Street

Il 25 agosto 2016 un investitore americano di nome Carson Block pubblica un tweet che farà la storia della cyber security. In allegato c'è un report di ben 33 pagine che ruota attorno a un'affermazione molto pesante: i pacemaker e i defibrillatori impiantabili prodotti dall'azienda St. Jude Medical sono hackerabili e potenzialmente letali per i pazienti. L'investitore però non ha scritto quel report per avvertire i pazienti o le autorità sanitarie, lo ha scritto per fare un sacco di fior di soldi sul crollo del titolo di St. Jude, che è esattamente quello che succede nelle ore immediatamente successive alla pubblicazione. La ciliegina sulla torta è che a quanto pare in questa mossa speculativa sono coinvolti anche i ricercatori di sicurezza che hanno trovato le vulnerabilità. Più scende St. Jude, più ricercatori incassano. Questo schema mai visto prima nel mondo della cyber security darà il via a scandali e cause giudiziarie infinite. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. Non potevo parlare dei pericoli dei dispositivi IoT senza dedicare un video a questo caso in cui i device hackerabili tra l'altro non sono delle telecamere di videosorveglianza o dei frigoriferi smart, ma dei pacemaker che, per chi non lo sapesse, sono dei dispositivi impiantati vicino al cuore che servono a monitorare e regolarizzare il battito per chi soffre di cardiopatie o patologie simili. Uno dei maggiori produttori al mondo di dispositivi cardiaci impiantabili è proprio la società St. Jude Medical. Una delle particolarità della loro tecnologia è il sistema Merlin at Home, un trasmettitore radio che ogni paziente tiene sul comodino di casa. Di notte, mentre il paziente dorme, il Merlin parla in radiofrequenza con il dispositivo impiantato e manda al medico i dati delle ultime 24 ore. È una cosa ovviamente comodissima perché il il paziente deve fare molte meno visite di controllo e il medico vede in tempo quasi reale se qualcosa non va. Cioè, ci sono anche magari degli alert che avvisano se il cuore si sta fermando o cose di questo tipo. È esattamente questo tipo di comodità però che ha aperto la porta a tutta la storia che vi sto per raccontare. Ma andiamo con ordine. Intanto, la paura di un attacco hacker verso i pacemaker era diffusa già prima del tweet di Carson Block del 2016. Per capirci, nel 2012, quindi 4 anni prima di quel tweet, era uscita una puntata della serie TV Homeland in cui il vicepresidente degli Stati Uniti veniva ammazzato da un terrorista che gli aveva hackerato il pacemaker da remoto. Tra l'altro, Dick Cheney, vicepresidente degli Stati Uniti tra il 2001 e il 2009, già nel 2007, quindi prima dell'uscita di quella puntata, aveva fatto disattivare la funzione wireless del suo defibrillatore impiantabile proprio per la paura di un attacco cyber. Se per le persone normali queste sono paure esagerate o comunque scene inventate Hollywood, c'è chi in realtà aveva iniziato a chiedersi se non fosse invece una cosa effettivamente possibile. Il team di ricerca di una società chiamata MedSec Holdings, che si occupa proprio della sicurezza dei dispositivi medici, sotto la guida della ricercatrice Justine Bone, si dedica a questo tema e passa 18 mesi ad analizzare il mercato dei pacemaker e dei defibrillatori impiantabili, arrivando a identificare la società St. Jude come il bersaglio più vulnerabile. Il problema dei dispositivi St. Jude risiede proprio nella funzionalità più utile di questi dispositivi, cioè il Merlin Atom, che fa comunicare il dispositivo impiantato nel paziente con gli strumenti del medico. La MedSec aveva scoperto una serie di vulnerabilità. Intanto tutti i dispositivi Merlin Atom del mondo avevano le stesse credenziali, delle credenziali banalissime default che i pazienti e i medici non cambiavano mai. Quindi una volta che un hacker riusciva a mettere le mani sulle credenziali di un dispositivo aveva a disposizione le credenziali anche di tutti gli altri device sparsi per il mondo. Una volta dentro al dispositivo, i ricercatori di MedSec scoprono pure che tutto il traffico, quindi tutte le informazioni scambiate tra il pacemaker del paziente, il dispositivo Marlin Atom e la strumentazione del medico, era in chiaro, non aveva nessuna forma di cifratura. Chiunque avesse un'antenna radio capace di ascoltare quelle frequenze, e ce ne sono in vendita su internet per poche decine di euro, poteva intercettare i dati clinici del paziente. Negli apparecchi più vecchi i ricercatori trovano anche gli indirizzi IP dei server di St. Jude e le chiavi SSH private, cioè sostanzialmente le chiavi crittografiche che permettono di autenticarsi su un server da remoto senza avere nemmeno la password. Quindi i malintenzionati potevano pure entrare dentro ai server di St. Jude quando volevano. In tutto ciò qualcuno potrebbe pensare: ok, però per avere un pacemaker di quel tipo occorrono determinate patologie, quindi giusto anche un hacker cardiopatico poteva mettere le mani su un dispositivo e trovare tutte queste vulnerabilità, no? Beh, in realtà non era così, perché MedSec aveva scoperto che una volta che il paziente veniva a mancare, i familiari vendevano i dispositivi Merlin Atom su eBay. Era proprio così infatti che i ricercatori stessi se li erano procurati. Cioè, non è che erano andati da Saint Jude a chiedere se per favore gli davano dei dispositivi da hackerare, li avevano comprati. Su eBay o in altri marketplace di oggetti di seconda mano. Una volta trovate queste vulnerabilità, cosa fa la MedSec? Cerca di capire come può guadagnare da questa scoperta. Anziché comunicare le vulnerabilità a St. Jude o quantomeno alla FDA, l'autorità che negli Stati Uniti regola i dispositivi medici, la società decide di portare i risultati a un hedge fund americano di nome Muddy Waters, gestito per l'appunto da Carson Block. Intanto, cos'è un hedge fund? È un fondo di investimento privato che A differenza dei fondi tradizionali usati da chi vuole mettere via dei soldi per la pensione, usa strategie speculative aggressive. Una di queste è la vendita allo scoperto, che è un po' il fiore all'occhiello di Matthew Waters. Come funziona la vendita allo scoperto? Il fondo come prima cosa prende in prestito un grosso numero di azioni di una società che secondo lui è sopravvalutata, impegnandosi a restituire queste azioni dopo qualche mese. Intanto le vende subito al prezzo corrente di mercato e aspetta. Se se le sue previsioni sono corrette, se cioè quelle azioni erano davvero sopravvalutate, in qualche mese il prezzo dovrebbe scendere. A quel punto il fondo ricompra le stesse azioni a un prezzo molto più basso e le restituisce a chi gliel'aveva prestate, tenendosi la differenza di prezzo come guadagno. Chiaramente questa cosa funziona benissimo se il titolo scende e funziona malissimo se sale, perché in questo secondo caso il fondo dovrebbe ricomprare le azioni a un prezzo più alto a cui le ha vendute e quindi va in perdita. Capita spesso quindi che i fondi speculativi tendano a forzare un po' la mano al mercato per far scendere il prezzo delle azioni, con dichiarazioni volte a minare la credibilità delle aziende in modo che le loro azioni crollino. Questa cosa è corretta? Si può fare? Diciamo che se le cose sono vere ci può anche stare, mentre chiaramente diffamare un'azienda facendo accuse false è vietato. Torniamo al nostro caso. La MadSec porta il suo report a Muddy Waters, che capisce che le azioni di St. Jude crolleranno nel momento in cui le persone leggeranno che i loro pacemaker sono hackerabili. Quindi la mattina del 25 agosto 2016 il fondo Muddy Waters, capitanato da Carson Block, avvia un'enorme vendita allo scoperto sulle azioni St. Jude, cioè prende in prestito tantissime azioni e le vende al prezzo di mercato. Qualche ora dopo averle vendute, Carson Block pubblica il report di MadSec su St. Jude, report che appunto dice che pacemaker di St. Jude sono hackerabili. Contemporaneamente però Carson Block cosa fa? Acquista tantissime azioni di un'altra società chiamata Abbott, prevedendo che sarebbero salite di prezzo, dandogli la possibilità quindi poi di rivenderle a un prezzo più alto e guadagnare. Lo fa perché qualche mese prima questa società, la Abbott, aveva dichiarato di voler acquistare la St. Jude. Secondo Block, dopo lo scandalo dei pacemaker, la Abbott avrebbe portato avanti ancora più volentieri l'affare dato che poteva usare questa cosa per abbassare il prezzo di vendita e quindi poteva comprare Sengyud a un prezzo molto più basso e avere più forza, diciamo, in ambito contrattuale. In tutto ciò, la MedSec, che aveva scoperto le vulnerabilità, voleva guadagnarci qualcosa. E l'accordo che aveva stretto con Carson Block non era un pagamento una tantum, ma una percentuale sui profitti di quest'operazione in borsa, quindi sulla vendita allo scoperto delle azioni. In pratica, più Sengyud crolla, più i ricercatori incassano. Tutto questo diciamocelo, sulla pelle delle persone che in quel momento avevano un pacemaker impiantato. Perché è vero che non era colpa di Carlson Block o dei ricercatori se la St. Jude era vulnerabile, ma è vero anche che se la società si trovava con le spalle al muro ad affrontare scandalo, acquisizione, crollo in borsa tutto insieme, probabilmente l'eliminazione delle vulnerabilità sarebbe scesa parecchio in basso nella lista delle priorità. Justin Bone, la caporicercatrice, in delle interviste successive ha sostenuto che era l'unico modo per costringere Saint Jude a intervenire perché l'azienda tendeva a insabbiare i problemi. Magari è anche vero, però insomma mi sembra che qui le scelte di MedSec fossero dettate più da motivi economici che da una spinta etica. E a proposito dei pazienti, una cosa che potremmo chiederci è: ma quanti pazienti erano stati danneggiati da queste vulnerabilità? In realtà, per fortuna, nessuno. Non è mai stato documentato un singolo caso di paziente attaccato da qualche malintenzionato sfruttando queste falle. A quanto pare gli ad aver provato a entrare in uno di questi dispositivi e a notare le vulnerabilità sono stati proprio i ricercatori. Va detto che questo non rende la cosa meno grave, le falle c'erano e potevano essere sfruttate, però almeno una buona notizia ce l'abbiamo. Comunque, come dicevo, Carson Block fa queste operazioni speculative, pubblica questo tweet con il report, e come se non bastasse ottiene lo stesso giorno un'ospitata su Bloomberg Television.

We are aware, we've been made aware that these implantable devices— We're talking about defibrillators, we're talking about pacemakers. Yes, and likely also a device called CRT. These are part of an ecosystem.

In occasione della quale dice che St. Jude ha letteralmente distribuito in giro le chiavi del castello. Le azioni di St. Jude quel giorno scendono del 5%. Il giorno dopo, in tempo record, arriva la prima class action dei pazienti che si lamentano dei rischi a cui sono stati esposti. Saint Jude reagisce con un comunicato in cui dice che il report per l'80% è fumo e il resto è sistemabile. Quindi dice sostanzialmente di stare tranquilli. Le persone non si tranquillizzano però, anche perché la MedSec aveva valorato il report con dei video che mostravano come un hacker potesse far crashare il pacemaker, quindi potenzialmente attentare alla vita di un paziente. Qualche giorno dopo però accade una cosa interessante. Kevin Fu, ricercatore dell'Università del Michigan, è una delle persone più autorevoli al mondo sulla sicurezza dei dispositivi medici, smonta i video pubblicati da MedSec e citati nel report dicendo che il comportamento del pacemaker mostrato nel video non era un crash, anzi era una funzionalità di sicurezza chiamata radio frequency telemetry lockout, che si attiva proprio quando il dispositivo rileva troppe richieste anomale. A bloccarsi non erano state le funzionalità vitali, quelle che servono a regolarizzare il battito cardiaco del paziente, ma semplicemente la comunicazione in tempo reale con la strumentazione del medico. Il video, in altre parole, mostrava il pacemaker che si difendeva evitando di farsi bombardare di richieste, non che si rompeva al primo attacco come voleva far credere la MedSec. Questa cosa dà un po' di coraggio a Saint Jude che decide di far causa a Muddy Waters, a MedSec, a Carson Block, a Justin Bone e ad altri ricercatori. L'accusa è diffamazione, manipolazione del mercato e violazione dell'Anham Act sulla pubblicità ingannevole. A ottobre E qui però arriva il colpo di scena. Muddy Waters e MedSec, unite nella causa contro St. Jude, ingaggiano Bishop Fox come perito indipendente. Bishop Fox, che è una società di sicurezza con una reputazione molto, molto solida, non l'ultima arrivata quindi, fa una nuova perizia su questi dispositivi e la sua perizia conclude che non solo le vulnerabilità erano realmente esistenti, ma in alcuni aspetti erano pure peggio di come MedSec le aveva descritte. Bishop Fox mostra ad esempio che un hacker che fosse riuscito a entrare dentro a un dispositivo Merlin Atom poteva inviare scariche di defibrillazione a distanza, concludendo che fosse effettivamente possibile attentare alla vita di un paziente. In tutto ciò, la Abbott, la società che voleva acquistare la St. Jude, quattaquatta finisce la trattativa e il 4 gennaio 2017 finalmente acquisisce la società. Esattamente 5 giorni dopo viene rilasciato un aggiornamento di sicurezza automatico per tutti i dispositivi Merlin Lina Tom. Mi sembra abbastanza chiaro che questa tempestività fosse un modo per la Abbott di dire: adesso ci siamo noi e la musica cambia. Ma comunque ci sta, perché in ogni caso l'acquisto dopo lo scandalo era stato particolarmente delicato e quindi volevano tutelarsi fin dall'inizio. Nonostante questo, ad aprile la FDA, l'autorità appunto che supervisiona la sicurezza dei farmaci e dei dispositivi medici negli Stati Uniti, che fino a quel momento aveva tenuto un profilo basso, manda alla Abbott una lettera di avvertimento ufficiale e durissima. In realtà critica l'azienda non solo per le vulnerabilità cyber, ma anche per altri problemi, tipo un difetto nelle batterie dei dispositivi più vecchi che avevano causato ben 2 decessi in Europa. Un anno dopo l'inizio di questa storia, quindi ad agosto 2017, la FDA ordina il richiamo firmware di 460.000 pacemaker St. Jude. Il termine richiamo qui è un po' fuorviante perché di solito un richiamo significa ritirare fisicamente l'apparecchio, e se si tratta di un pacemaker, per farlo serve un intervento chirurgico al cuore. Questo richiamo invece consisteva nel chiedere al paziente di andare in clinica, dove sarebbe stato collegato a un pacemaker esterno di riserva per sicurezza, mentre un tecnico avrebbe aggiornato il software interno del dispositivo. Questa operazione risolse quasi tutti i problemi di sicurezza riscontrati nei pacemaker difettosi. Intanto la causa fra St. Jude e Muddy Waters stava andando avanti. La Abbott, diventata ormai proprietaria di St. Jude, propone un settlement, cioè un accordo per chiudere la causa senza andare avanti in tribunale. Il contenuto del settlement era chiaramente riservato, come succede sempre in questi casi, ma Carson Block se ne frega e pubblica su Twitter una clausola dell'accordo proposto. La clausola diceva in sostanza che MedSec e Muddy Waters non potranno più divulgare informazioni o report sui prodotti St. Jude o Abbott senza un preavviso di 14 giorni alla azienda. Block pubblica questa clausola con un post tipo: guardate cosa vogliono farmi firmare. Saint Jude si rivolge al tribunale e il giudice emette nei confronti di Block un divieto di rivelare ulteriori informazioni. La causa alla fine si chiuderà con un accordo a febbraio del 2018, anche se non sappiamo con precisione come sia finita e se quella clausola sia rimasta oppure no. In tutto questo, la cosa che mi stupisce di più è che in 9 anni nessuno abbia più replicato questo schema, cioè quello di vendere allo scoperto fatto azioni di una società per poi dimostrare che aveva delle falle dal punto di vista della sicurezza informatica, cosa che oggi fa molta presa nel pubblico, come è giusto che sia. Quindi effettivamente sarebbe possibile far crollare un titolo solo con un report come quello di MedSec. Come dicevo, mi sembra strano che non sia più stato fatto, anche se più probabilmente questi schemi sono stati replicati, ma in modo più sottile, discreto, quindi magari non ne siamo venuti a conoscenza. Bene, come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere sapere nei commenti se conoscevate già questa vicenda e cosa pensate di tutto questo. In particolare, se secondo voi Carson Block ha fatto bene oppure no, quindi se è un tentativo di guadagnare lecito oppure se dal punto di vista etico non è il massimo. Se volete approfondire l'argomento o leggere il report di MedSec, come sempre in descrizione trovate le principali fonti che ho usato per raccogliere informazioni per il video. Noi ci rivediamo la prossima settimana con il video dedicato al juice jacking, argomento momento perfetto per prepararci alle vacanze. A presto!