Vulnerabilidade de Contec CMS8000: un problema crítico de ciberseguridade ou unha mala práctica de codificación?

Health-ISAC Blog de seguridade de dispositivos médicos en TechNation

Escrito por Phil Englert, vicepresidente de Seguridade de Dispositivos Médicos de Health-ISAC

O 30 de xaneiro de 2025, a Axencia de Seguridade en Infraestruturas e Ciberseguridade (CISA) publicou o aviso médico ICSMA-25-030-01, no que destacaba vulnerabilidades críticas nos monitores de pacientes Contec CMS8000. Estas vulnerabilidades, que inclúen unha escritura fóra de límites, unha funcionalidade de porta traseira oculta e fugas de privacidade, supoñen riscos significativos para a seguridade dos pacientes e a seguridade dos datos. A Administración de Alimentos e Medicamentos dos Estados Unidos (FDA) emitiu unha comunicación de seguridade o mesmo día, facendo fincapé nos riscos asociados a estas vulnerabilidades. A FDA destacou que o Contec CMS8000 e as versións reetiquetadas, como o Epsimed MN-120, poden ser controladas remotamente por usuarios non autorizados, o que podería comprometer os datos dos pacientes e a funcionalidade do dispositivo. O CMS8000 entrou no mercado arredor de 2005 e obtivo a autorización 510(k) da FDA en xuño de 2011.

As recomendacións da FDA para os profesionais sanitarios e os pacientes eran dúas: desconectar e deixar de usar o dispositivo se se depende de funcións de monitorización remota. En segundo lugar, a FDA recomendou usar só funcións de monitorización local, como desactivar as capacidades sen fíos e desconectar os cables de Ethernet. Os monitores fisiolóxicos non proporcionan tratamento para salvar vidas ou manter a vida, pero son esenciais para monitorizar o estado dos pacientes en risco. Os monitores de pacientes monitorízanse de forma centralizada para notificar inmediatamente aos coidadores os cambios no estado do paciente. Unha resposta rápida pode marcar a diferenza entre bos e malos resultados.

As vulnerabilidades de Contec CMS8000 reveladas pola CISA e analizadas pola FDA, Claroty e Cylera salientan a necesidade crítica de medidas robustas de ciberseguridade nos entornos sanitarios. Tamén destacan que as vulnerabilidades poden derivar dun deseño inseguro en lugar de intencións maliciosas, e que o seu impacto potencial na seguridade dos pacientes e na seguridade dos datos non se pode subestimar. Os provedores de atención médica deben actuar con rapidez para mitigar estes riscos e garantir a integridade dos seus dispositivos médicos.

Lea o blog completo en TechNation. Pulse AQUÍ

Health-ISAC Blog de seguridade de dispositivos médicos en TechNation

Escrito por Phil Englert, vicepresidente de Seguridade de Dispositivos Médicos de Health-ISAC

No sector sanitario, garantir a seguridade e a eficacia dos dispositivos médicos é primordial. Con demasiada frecuencia, a ciberseguridade céntrase nas vulnerabilidades e, aínda que é importante, a análise de vulnerabilidades é demasiado limitada. As vulnerabilidades avalíanse mediante o Sistema Común de Puntuación de Vulnerabilidades (CVSS), que tenta determinar o perigosa que é unha vulnerabilidade. Esta é unha información útil, pero considera o risco de vulnerabilidade dentro do compoñente no que reside en lugar do produto. Esta visión limitada non considera os riscos que a vulnerabilidade supón para un ambiente específico. Os factores contextuais, como a importancia do activo, como se usa o activo ou os controis existentes, xa sexa dentro do produto ou dentro da rede, tamén deben considerarse ao avaliar o risco. Dadas estas limitacións, realizar unha Análise de Impacto do Risco de Dispositivos Médicos (MDRIA) é un proceso fundamental que axuda aos provedores de atención médica a identificar, avaliar e mitigar os riscos asociados aos dispositivos médicos. Este ensaio describe os compoñentes esenciais dunha MDRIA.

Lea o blog completo en TechNation.  Pulse AQUÍ