L'avertissement indique que le système est vulnérable aux piratages de cybersécurité pouvant contrôler le dosage

La FDA a émis une alerte, avertissement des vulnérabilités en matière de cybersécurité dans la pompe à perfusion Symbiq qui pourraient permettre aux pirates informatiques d’ignorer le contrôle de la délivrance des médicaments aux patients. Le système de perfusion Symbiq de Hospira est une pompe informatisée qui assure l'administration continue d'un traitement par perfusion générale à une large population de patients.

L'alerte met en garde les établissements de santé utilisant ce système contre tout accès et contrôle non autorisés potentiels de ces systèmes, et recommande notamment aux utilisateurs de passer aux systèmes de perfusion alternatifs et de cesser d'utiliser les pompes affectées jusqu'à nouvel ordre. L'alerte indique notamment: «La FDA, l'équipe d'intervention en cas d'urgence informatique du système de contrôle industriel (CS-CERT) du système de contrôle industriel du département de la Sécurité intérieure des États-Unis et Hospira sont au courant des vulnérabilités en matière de cybersécurité associées au système d'infusion Symbiq. Hospira et un chercheur indépendant ont confirmé que le système de perfusion Symbiq de Hospira était accessible à distance via le réseau d'un hôpital ", une action qui pourrait potentiellement" permettre à un utilisateur non autorisé de contrôler le dispositif et de modifier le dosage fourni par la pompe, ce qui pourrait entraîner sous-perfusion de traitements critiques du patient. "

Le chercheur Billy Rios a découvert les failles d'un certain nombre de systèmes de perfusion Hospira, notamment Plum A +, Lifecare PCA et, les produits Symbiq, selon Semaine de la sécurité. À ce jour, rien n'indique que de telles actions se sont produites ni aucune preuve d'événements indésirables pour le patient ou d'accès non autorisé.

Lors de la transition vers un autre système de perfusion, les établissements de santé devraient prendre les mesures suivantes pour réduire le risque d’accès non autorisé au système:

• Déconnectez le produit affecté du réseau. Sachez que la déconnexion du produit affecté du réseau aura des conséquences opérationnelles et nécessitera une mise à jour manuelle des bibliothèques de médicaments. Les mises à jour manuelles de chaque pompe peuvent nécessiter beaucoup de travail et sont sujettes à des erreurs de saisie.
• Assurez-vous que les ports inutilisés sont fermés, y compris les ports 20 / FTP et 23 / TELNET.
• Surveillez et enregistrez tout le trafic réseau qui tente d'atteindre le produit concerné via le port 20 / FTP, le port 23 / TELNET et le port 8443. Contactez le support technique de Hospira pour modifier le mot de passe par défaut utilisé pour accéder au port 8443 ou le fermer.

Hospira a cessé la fabrication et la distribution des systèmes de perfusion concernés en raison de problèmes indépendants, et collabore actuellement avec ses clients pour la transition vers des systèmes alternatifs. La FDA encourage fortement ces transitions dès que possible. Hospira a également fourni un mise à jour logicielle minimiser les vulnérabilités lors du basculement.

"Hospira a participé aux discussions en cours avec la FDA et le département de la Sécurité intérieure des États-Unis au sujet des récents développements concernant la cybersécurité des appareils", a déclaré Hospira. SecurityWeek en mai. «Il est également intéressant de noter que l'exploitation des vulnérabilités nécessite la pénétration de plusieurs couches de sécurité réseau imposées par le système d'information de l'hôpital, notamment des pare-feu sécurisés. Ces mesures de sécurité du réseau constituent la première et la plus puissante ligne de défense contre la falsification. Les pompes et les logiciels fournissent un niveau de sécurité supplémentaire. "

Parmi les vulnérabilités découvertes dans les systèmes de perfusion Hospira figurent un dépassement de tampon, une autorisation inappropriée, une vérification insuffisante de l’authenticité des données, des mots de passe codés en dur, un stockage inapproprié des informations sensibles, la consommation non contrôlée de ressources, des problèmes de gestion de clés et de certificats et l’utilisation de logiciels tiers vulnérables.