Medtronic recolheu 64.174 bombas de insulina que não podia corrigir contra sequestro sem fio

Em 27 de junho de 2019, a Medtronic recolheu suas bombas de insulina das séries MiniMed 508 e Paradigm após a identificação de potenciais vulnerabilidades de cibersegurança na comunicação por radiofrequência (RF) sem fio que utilizavam. A FDA alertou que uma pessoa não autorizada nas proximidades poderia se conectar a uma bomba e alterar configurações ou controlar a administração de insulina.

O banco de dados de recolhimentos da FDA classificou posteriormente a ação como recolhimento Classe 2 (Z-1581-2020), com 64.174 unidades em circulação nos EUA, e determinou que a causa foi o projeto do dispositivo. A Health Canada afirmou que as vulnerabilidades foram identificadas inicialmente por pesquisadores de segurança externos e confirmadas por testes da Medtronic; a Medtronic informou que não poderia atualizar o software das bombas para corrigir o risco.

O perigo era concreto: uma configuração alterada poderia administrar insulina em excesso e causar hipoglicemia, ou interromper a administração e causar hiperglicemia e cetoacidose diabética. Ambas as agências reguladoras enfatizaram que não havia danos conhecidos a pacientes e consideraram o ataque de baixa probabilidade, mas a solução foi orientação — verificar versões de software, tomar precauções — porque não existia correção.

64.174 bombas em circulação nos EUA recolhidas (Classe 2); a FDA determinou que a causa foi o projeto do dispositivo, e os proprietários receberam orientação porque o firmware não podia ser atualizado.

As bombas se comunicavam por rádio não criptografado, deixando as configurações abertas a atacantes próximos

O firmware mais antigo não tinha caminho de atualização, então a falha não podia ser corrigida

Pesquisadores encontraram os problemas anos antes do recolhimento; a Medtronic não tinha retrofit

A FDA classificou a causa como projeto do dispositivo, não erro do operador

Um dispositivo médico conectado sem caminho de atualização torna-se irrecuperável por correção: quando pesquisadores encontram falhas, o único remédio é alerta ou substituição — projete a atualizabilidade desde o início.

A Medtronic emitiu uma Notificação Urgente de Segurança em Campo em 27 de junho de 2019 e notificou novamente os clientes em 4 de janeiro de 2023. Em 2021, a Health Canada estendeu a preocupação a todas as bombas MiniMed 508 e Paradigm distribuídas antes de 2015 — 2.620 unidades no Canadá — e aconselhou os pacientes a considerar modelos mais novos. O recolhimento permaneceu aberto no banco de dados da FDA por anos.