O aviso afirma que o sistema é vulnerável a hackers de segurança cibernética que podem controlar a dosagem

O FDA emitiu um alerta, alerta para vulnerabilidades de segurança cibernética na bomba Symbiq Infusion que podem permitir que hackers substituam o controle da entrega de medicamentos aos pacientes. O Hospira Symbiq Infusion System é uma bomba computadorizada que fornece administração contínua de terapia geral de infusão para uma ampla população de pacientes.

O alerta avisa os estabelecimentos de saúde que usam este sistema sobre acesso e controle potencial não autorizado desses sistemas e inclui uma recomendação de que os usuários façam a transição para sistemas alternativos de infusão e descontinuem o uso das bombas afetadas até novo aviso. O alerta diz, em parte, “O FDA, a Equipe de Resposta de Emergência Cibernética dos Sistemas de Controle Industrial do Departamento de Segurança Interna dos EUA (CS-CERT) e a Hospira estão cientes das vulnerabilidades de segurança cibernética associadas ao Symbiq Infusion System. A Hospira e um pesquisador independente confirmaram que o Symbiq Infusion System da Hospira poderia ser acessado remotamente através da rede de um hospital ”, uma ação que poderia“ permitir a um usuário não autorizado controlar o dispositivo e alterar a dosagem que a bomba fornece, o que poderia levar a excesso ou sub-infusão de terapias críticas para pacientes. ”

O pesquisador Billy Rios descobriu as falhas em vários sistemas de infusão da Hospira, incluindo os produtos Plum A +, Lifecare PCA e Symbiq, de acordo com Semana de Segurança. Até o momento, não há indicação de que tais ações tenham ocorrido e nenhuma evidência de eventos adversos do paciente ou acesso não autorizado.

Durante a transição para um sistema de infusão alternativo, os estabelecimentos de saúde devem seguir as seguintes etapas para reduzir o risco de acesso não autorizado ao sistema:

• Desconecte o produto afetado da rede. Esteja ciente de que desconectar o produto afetado da rede terá impactos operacionais e exigirá que as bibliotecas de medicamentos sejam atualizadas manualmente. As atualizações manuais de cada bomba podem ser trabalhosas e propensas a erros de entrada.
• Verifique se as portas não utilizadas estão fechadas, incluindo a Porta 20 / FTP e a Porta 23 / TELNET.
• Monitore e registre todo o tráfego de rede que tenta alcançar o produto afetado via Porta 20 / FTP, Porta 23 / TELNET e Porta 8443. Entre em contato com o suporte técnico da Hospira para alterar a senha padrão usada para acessar a porta 8443 ou fechá-la.

A Hospira descontinuou a fabricação e a distribuição dos sistemas de infusão afetados, devido a problemas não relacionados, e atualmente está trabalhando com seus clientes para fazer a transição para sistemas alternativos, e o FDA incentiva fortemente essas transições o mais rápido possível. A Hospira também forneceu uma atualização de software para minimizar vulnerabilidades durante a troca.

"A Hospira faz parte de discussões em andamento com o FDA e o Departamento de Segurança Nacional sobre desenvolvimentos recentes em torno da segurança cibernética de dispositivos", disse Hospira. SecurityWeek em maio. “Também é importante notar que a exploração de vulnerabilidades requer a penetração em várias camadas de segurança de rede impostas pelo sistema de informações do hospital, incluindo firewalls seguros. Essas medidas de segurança de rede servem como a primeira e mais forte linha de defesa contra violações, e as bombas e o software fornecem uma camada adicional de segurança. ”

Entre as vulnerabilidades descobertas nos sistemas de infusão da Hospira estão o estouro de buffer, autorização inadequada, verificação insuficiente da autenticidade dos dados, senhas codificadas, armazenamento inadequado de informações confidenciais, consumo não controlado de recursos, problemas de gerenciamento de chave e certificado e uso de software vulnerável de terceiros.