Onderzoekers van securitybedrijf McAfee hebben aangetoond hoe ze patiëntenmonitors die in ziekenhuizen worden gebruikt kunnen spoofen, zodat verplegend personeel verkeerde informatie over de vitale functies van een patiënt te zien krijgt. De patiëntenmonitors worden weer via een centraal monitorstation in de gaten gehouden.

Op deze manier kan verplegend personeel zien welke patiënt hulp nodig heeft of wanneer er afwijkingen zijn. Voor hun onderzoek keken onderzoekers van McAfee naar een centraal monitorsysteem dat Windows XP Embedded draait en uit 2004 stamt. Ook de onderzochte patiëntenmonitor is veertien jaar geleden gemaakt en beide systemen worden nog in ziekenhuizen gebruikt. De systemen blijken tijdens het communiceren geen gebruik van authenticatie of encryptie te maken.

Zodoende is het mogelijk om een kwaadaardig apparaat op het ziekenhuisnetwerk aan te sluiten dat zich als de patiëntenmonitor voordoet. Via Address Resolution Protocol (ARP) spoofing is het mogelijk om dit kwaadaardige apparaat informatie van het centrale monitoringstation te laten ontvangen, in plaats van de patiëntenmonitor. Vervolgens kan het kwaadaardige apparaat zich als de patiëntenmonitor voordoen en verkeerde informatie naar het centrale monitoringsstation sturen.

Zo is het bijvoorbeeld mogelijk om de waarde van de hartslag die op het monitoringsstation wordt getoond aan te passen. De informatie die de patiëntenmonitor weergeeft is niet op deze manier aan te passen en zal nog steeds de correcte waarde weergeven. Volgens McAfee baseren zorgverleners zich bij het maken van beslissingen juist op het centrale monitoringssysteem, in plaats van dat ze bij elke patiënt individueel langsgaan om daar op de patiëntenmonitor te kijken.

Fabrikanten krijgen dan ook het advies om netwerkverkeer tussen de apparaten te versleutelen en authenticatie toe te voegen. Verder wordt aangeraden om dergelijke systemen op een gescheiden netwerk te plaatsen. In dit geval heeft een aanvaller namelijk fysieke toegang tot het netwerk nodig om de aanval uit te kunnen voeren.