メドトロニック、無線ハイジャックに対処するパッチを適用できなかったインスリンポンプ64,174台をリコール

2019年6月27日、メドトロニックは、MiniMed 508およびParadigmシリーズのインスリンポンプが使用していた無線RF通信に潜在的なサイバーセキュリティ上の脆弱性が特定されたことを受け、同ポンプをリコールした。FDAは、近くにいる無許可の人物がポンプに接続し、設定を変更したりインスリン投与を制御したりできる可能性があると警告した。

FDAのリコールデータベースは後にこの措置をクラス2リコール（Z-1581-2020）に分類し、米国内流通分64,174台を対象とし、原因は機器の設計にあると判定した。カナダ保健省は、脆弱性はまず外部のセキュリティ研究者によって特定され、メドトロニックの試験によって確認されたと述べた。メドトロニックは、リスクを修正するためにポンプのソフトウェアを更新することはできないと助言した。

危険は現実のものであった。設定が変更されると、インスリンが過剰に投与されて低血糖を引き起こしたり、投与が停止して高血糖や糖尿病性ケトアシドーシスを引き起こしたりする可能性があった。両規制当局は、患者への既知の危害はないと強調し、攻撃の可能性は低いと考えていたが、パッチが存在しなかったため、対応策はガイダンス（ソフトウェアバージョンの確認、予防措置の実施）であった。

米国内流通分のポンプ64,174台をリコール（クラス2）。FDAは原因を機器の設計と判定し、ファームウェアを更新できなかったため、所有者にはガイダンスが提供された。

ポンプは暗号化されていない無線で通信していたため、設定が近くの攻撃者にさらされていた

旧型ファームウェアには更新手段がなく、欠陥にパッチを適用できなかった

研究者らはリコールの数年前に問題を発見していたが、メドトロニックには改修手段がなかった

FDAは原因を操作ミスではなく機器の設計と分類した

更新手段を持たない接続型医療機器は、パッチによるリコールが不可能になる。研究者が欠陥を発見した場合、唯一の救済策は警告か交換であり、設計段階から更新可能性を組み込むべきである。

メドトロニックは2019年6月27日に緊急フィールド安全通知を発行し、2023年1月4日に顧客へ再通知した。2021年、カナダ保健省は懸念を2015年以前に流通したすべてのMiniMed 508およびParadigmポンプ（カナダ国内2,620台）に拡大し、患者に新しいモデルの検討を勧めた。このリコールはFDAのデータベースで長年にわたり継続中となった。