“Una vez que el monitor del paciente se conecta a Internet, comienza a recopilar datos del paciente, incluida información de identificación personal (PII) e información médica protegida (PHI), y a exfiltrar (extraer) los datos fuera del entorno de prestación de servicios de atención médica”, afirmó la FDA.
Washington, EEUU — Un monitor de pacientes fabricado por el fabricante chino Contec contiene una puerta trasera que podría permitir a un atacante acceder a los datos del paciente y manipular remotamente los dispositivos, dijeron las autoridades estadounidenses el 31 de enero.
El monitor de pacientes Contec CMS8000 es un dispositivo utilizado para monitorizar los signos vitales humanos en hospitales y clínicas de la Unión Europea y Estados Unidos.
La Administración de Alimentos y Medicamentos (FDA) emitió una declaración en la que recomienda que los hospitales y los cuidadores revisen los monitores Contec CMS8000, desconecten el dispositivo de Internet o dejen de usarlo si el dispositivo depende de funciones de monitoreo remoto.
La recomendación también se aplica a los mismos dispositivos reetiquetados y vendidos como monitores de pacientes Epsimed MN-120.
“Una vez que el monitor del paciente se conecta a Internet, comienza a recopilar datos del paciente, incluida información de identificación personal (PII) e información médica protegida (PHI), y a exfiltrar (extraer) los datos fuera del entorno de prestación de servicios de atención médica”, afirmó la FDA.
El dispositivo también contiene una puerta trasera que puede permitir que personas no autorizadas provoquen fallas o mal funcionamiento del dispositivo o corrompieran datos en el mismo, según la FDA.
El regulador afirmó que, por el momento, no tiene conocimiento de ningún incidente de ciberseguridad, lesiones o muertes relacionadas con las vulnerabilidades encontradas en el dispositivo. Pidió a los usuarios que informaran sobre cualquier problema detectado.
Las vulnerabilidades fueron identificadas por un equipo de investigación de la Agencia de Seguridad Cibernética y de Infraestructura (CISA), que analizó tres versiones de firmware para el monitor de pacientes Contec CMS8000.
l equipo encontró una puerta trasera que conecta los dispositivos a una dirección IP codificada, “lo que permite que el dispositivo descargue y ejecute archivos remotos no verificados”, dijo CISA en un informe que detalla los hallazgos del equipo.
La agencia no reveló la ubicación de la dirección IP, y sólo afirmó que pertenece a una “universidad de terceros”.
El equipo de investigación determinó que es “muy improbable” que la puerta trasera sirva como mecanismo de actualización alternativo debido a las “características altamente inusuales” del código, que difieren de las de otros mecanismos de actualización.
Cuando se ejecuta la función de puerta trasera en el dispositivo, afirmó CISA, “los archivos del dispositivo se sobrescriben a la fuerza” sin el conocimiento del usuario final, por lo que los hospitales no sabrán qué software se está ejecutando en el dispositivo.
Esto va “en contra de las prácticas generalmente aceptadas” y también ignora “componentes esenciales para actualizaciones de sistemas gestionadas adecuadamente, especialmente para dispositivos médicos”, afirmó la agencia.
El equipo de CISA observó intentos del dispositivo de comunicarse, pero no observó comunicación con la IP de la universidad, según la agencia.
El monitor también transmite supuestamente datos del paciente a la dirección IP por defecto cuando un paciente está conectado a él, afirmó.
El dispositivo también contiene una puerta trasera que puede permitir que personas no autorizadas provoquen fallas o mal funcionamiento del dispositivo o corrompieran datos en el mismo, según la FDA.
