Vulnerabilidade do Contec CMS8000: uma preocupação crítica de segurança cibernética ou uma prática de codificação ruim?

Blog de segurança de dispositivos médicos Health-ISAC na TechNation

Escrito por Phil Englert, vice-presidente de segurança de dispositivos médicos da Health-ISAC

Em 30 de janeiro de 2025, a Agência de Segurança Cibernética e de Infraestrutura (CISA) divulgou o comunicado médico ICSMA-25-030-01, destacando vulnerabilidades críticas nos monitores de pacientes Contec CMS8000. Essas vulnerabilidades – que incluem gravação fora dos limites, funcionalidade de backdoor oculta e vazamento de privacidade – representam riscos significativos à segurança do paciente e à segurança dos dados. A Food and Drug Administration (FDA) dos EUA emitiu um comunicado de segurança no mesmo dia, enfatizando os riscos associados a essas vulnerabilidades. A FDA destacou que o Contec CMS8000 e versões remarcadas, como o Epsimed MN-120, podem ser controlados remotamente por usuários não autorizados, potencialmente comprometendo os dados do paciente e a funcionalidade do dispositivo. O CMS8000 chegou ao mercado por volta de 2005 e obteve a aprovação 510(k) da FDA em junho de 2011.

As recomendações da FDA para profissionais de saúde e pacientes foram duplas: desconecte e interrompa o uso do dispositivo se você depender de recursos de monitoramento remoto. Em segundo lugar, a FDA recomendou o uso apenas de recursos de monitoramento local, como desativar recursos sem fio e desconectar cabos Ethernet. Monitores fisiológicos não fornecem tratamento que salva ou mantém a vida, mas são essenciais para monitorar a condição de pacientes em risco. Os monitores de pacientes são monitorados centralmente para notificar prontamente os cuidadores sobre mudanças na condição do paciente. Uma resposta rápida pode ser a diferença entre bons e maus resultados.

As vulnerabilidades do Contec CMS8000 divulgadas pela CISA e analisadas pela FDA, Claroty e Cylera destacam a necessidade crítica de medidas robustas de segurança cibernética em ambientes de saúde. Também ressaltam que as vulnerabilidades podem advir de um design inseguro e não de intenções maliciosas; seu potencial impacto na segurança do paciente e dos dados não pode ser subestimado. Os provedores de saúde devem agir rapidamente para mitigar esses riscos e garantir a integridade de seus dispositivos médicos.

Leia o blog completo no TechNation. Clique aqui

Blog de segurança de dispositivos médicos Health-ISAC na TechNation

Escrito por Phil Englert, vice-presidente de segurança de dispositivos médicos da Health-ISAC

No setor de saúde, garantir a segurança e a eficácia dos dispositivos médicos é fundamental. Muitas vezes, a segurança cibernética se concentra em vulnerabilidades e, embora importante, a análise de vulnerabilidades é muito restrita. As vulnerabilidades são avaliadas usando o Common Vulnerability Scoring System (CVSS), que tenta determinar o quão perigosa uma vulnerabilidade é. Essa é uma informação útil, mas considera o risco de vulnerabilidade dentro do componente em que ela reside, e não no produto. Essa visão limitada não considera os riscos que a vulnerabilidade representa para um ambiente específico. Fatores contextuais, como a importância do ativo, como o ativo é usado ou os controles implementados, seja no produto ou na rede, também devem ser considerados na avaliação de riscos. Dadas essas limitações, a realização de uma Análise de Impacto de Risco de Dispositivos Médicos (MDRIA) é um processo crítico que ajuda os profissionais de saúde a identificar, avaliar e mitigar os riscos associados a dispositivos médicos. Este ensaio descreve os componentes essenciais de uma MDRIA.

Leia o blog completo no TechNation.  Clique aqui