메드트로닉, 무선 탈취 공격에 패치할 수 없었던 인슐린 펌프 64,174대 리콜

2019년 6월 27일, 메드트로닉은 무선 RF 통신에서 잠재적인 사이버보안 취약점이 확인된 후 MiniMed 508 및 Paradigm 시리즈 인슐린 펌프를 리콜했다. FDA는 근처의 비인가자가 펌프에 연결하여 설정을 변경하거나 인슐린 전달을 제어할 수 있다고 경고했다.

FDA의 리콜 데이터베이스는 이후 이 조치를 미국 유통 물량 64,174대의 Class 2 리콜(Z-1581-2020)로 분류하고 원인을 기기 설계로 판단했다. 캐나다 보건부는 취약점이 외부 보안 연구진에 의해 처음 확인되었고 메드트로닉의 테스트로 입증되었다고 밝혔다. 메드트로닉은 위험을 해결하기 위해 펌프 소프트웨어를 업데이트할 수 없다고 안내했다.

위험은 구체적이었다. 설정이 변경되면 인슐린이 과다 전달되어 저혈당을 유발하거나, 전달이 중단되어 고혈당 및 당뇨병성 케톤산증을 유발할 수 있었다. 두 규제 기관 모두 알려진 환자 피해는 없었고 공격 가능성은 낮다고 평가했지만, 패치가 존재하지 않았기 때문에 해결책은 소프트웨어 버전 확인과 예방 조치 같은 안내였다.

미국 유통 물량 64,174대의 펌프 리콜(Class 2). FDA는 원인을 기기 설계로 판단했고, 펌웨어를 업데이트할 수 없었기 때문에 소유자들은 안내를 받았다.

펌프가 암호화되지 않은 라디오로 통신하여 설정이 근처 공격자에게 노출됨

구형 펌웨어에는 업데이트 경로가 없어 결함을 패치할 수 없었음

연구진은 리콜보다 수년 전에 문제를 발견했으나 메드트로닉은 개조 방안이 없었음

FDA는 원인을 운영자 오류가 아닌 기기 설계로 분류함

업데이트 경로가 없는 연결형 의료기기는 패치로 해결할 수 없는 리콜이 된다. 연구진이 결함을 발견했을 때 유일한 해결책은 경고나 교체이며, 설계 단계부터 업데이트 가능성을 갖추어야 한다.

메드트로닉은 2019년 6월 27일 긴급 현장 안전 통지를 발행하고 2023년 1월 4일 고객에게 재통지했다. 2021년 캐나다 보건부는 우려 범위를 2015년 이전에 유통된 모든 MiniMed 508 및 Paradigm 펌프로 확대했으며, 캐나다 내 2,620대에 해당하고 환자들에게 최신 모델을 고려하도록 권고했다. 해당 리콜은 수년간 FDA 데이터베이스에서 진행 중 상태로 남았다.