Conexus™-telemetrie en monitoringsaccessoires Belangrijke veiligheidsinformatie

21 maart 2019
Bijgewerkt: 3 juni 2021

Medtronic heeft een laatste update uitgebracht om deze kwetsbaarheden in een subset van de hieronder vermelde hartimplantaten aan te pakken.

Protecta™-defibrillator voor cardiale resynchronisatietherapie (CRT-D) en Protecta™ implanteerbare cardioverter defibrillator (ICD), alle modellen

Bovendien zijn updates voor Amplia MRI™ CRT-D (alle modellen), Claria MRI™
CRT-D (alle modellen) en Compia MRI ™ CRT-D (alle modellen) nu wereldwijd beschikbaar waar goedgekeurd door lokale toezichthouders.

Het volledige bijgewerkte advies uitgegeven door CISA, is hier te vinden.

Tot op heden is er geen cyberaanval, privacyschending of schade aan patiënten waargenomen of geassocieerd met deze kwetsbaarheden.

21 maart 2019
Bijgewerkt: 8 april 2021

Medtronic heeft een laatste update uitgebracht om deze kwetsbaarheden in een subset van de hieronder vermelde hartimplantaten aan te pakken.

Protecta™-defibrillator voor cardiale resynchronisatietherapie (CRT-D) en Protecta™ implanteerbare cardioverter defibrillator (ICD), alle modellen

Het volledige bijgewerkte advies uitgegeven door CISA, is hier te vinden.

Tot op heden is er geen cyberaanval, privacyschending of schade aan patiënten waargenomen of geassocieerd met deze kwetsbaarheden.

21 maart 2019
Bijgewerkt: 4 juni 2020

Medtronic heeft een laatste update uitgebracht om deze kwetsbaarheden in een subset van de hieronder vermelde hartimplantaten aan te pakken.

• Amplia MRI™-CRT-D, alle modellen (update alleen uitgebracht in de VS)
• Claria MRI™-CRT-D, alle modellen (update alleen uitgebracht in de VS)
• Compia MRI™-CRT-D, alle modellen (update alleen uitgebracht in de VS)
• Visia AF MRI™-ICD, alle modellen (update wereldwijd uitgebracht)
• Visia AF™-ICD, alle modellen (update wereldwijd uitgebracht)

Tot op heden is er geen cyberaanval, privacyschending of schade aan patiënten waargenomen of geassocieerd met deze kwetsbaarheden.

Het volledige bijgewerkte advies uitgegeven door ICS-CERT, is hier te vinden.

21 maart 2019
Bijgewerkt: 30 januari 2020

Medtronic heeft een laatste update uitgebracht om deze kwetsbaarheden in een subset van de hieronder vermelde hartimplantaten aan te pakken.

• Brava™-CRT-D, alle modellen
• Evera MRI™-ICD, alle modellen
• Evera™-ICD, alle modellen
• Mirro MRI™-ICD, alle modellen
• Primo MRI™-ICD, alle modellen
• Viva™-CRT-D, alle modellen

Origineel bulletin: 21 maart 2019

Samenvatting kwetsbaarheid

Externe veiligheidsonderzoekers Peter Morgan van Clever Security, Dave Singelée en Bart Preneel van de Katholieke Universiteit (KU) Leuven, Eduard Marin van voorheen KU Leuven en momenteel de University of Birmingham, Flavio D. Garcia, Tom Chothia van de University of Birmingham en Rik Willems van Universitair Ziekenhuis Leuven, campus Gasthuisberg, hebben mogelijke kwetsbaarheden op het gebied van cyberveiligheid aan het licht gebracht in bepaalde producten van Medtronic. De kwetsbaarheden zijn van toepassing op het beschermde radiofrequente, draadloze Medtronic Conexus™-telemetrieprotocol (in dit document aangeduid als 'Conexus-telemetrie') dat betrekking heeft op bepaalde ICD's (implanteerbare cardioverter defibrillatoren) en CRT-D's (defibrillatoren voor cardiale resynchronisatietherapie) van Medtronic. Een volledige lijst met producten die het betreft, is te vinden onder aan deze pagina.

Tot op heden is er geen enkele cyberaanval, privacyschending of letsel aan patiënten waargenomen of geassocieerd met deze kwetsbaarheden.

Conexus-telemetrie wordt niet gebruikt in pacemakers van Medtronic (inclusief die met draadloze Bluetooth®-functionaliteit). Daarnaast maken de CareLink Express-monitoren en de CareLink Encore-programmeerapparaten (model 29901), die door bepaalde ziekenhuizen en klinieken gebruikt worden, ook geen gebruik van Conexus-telemetrie.

Conexus-telemetrie stelt programmeerapparaten en monitoringsaccessoires van Medtronic in staat om:

• op afstand gegevens te verzenden van een hartimplantaat in een patiënt naar een specifieke zorgkliniek (zogenaamde controle op afstand), inclusief belangrijke operationele en veiligheidsmeldingen;
• informatie van het hartimplantaat voor artsen in real time te tonen en af te drukken;
• instellingen van het hartimplantaat te programmeren.

De kwetsbaarheden zouden een onbevoegd persoon (d.w.z. iemand anders dan een zorgprofessional) toegang kunnen geven tot de gegevens en de mogelijkheid om instellingen te veranderen van een hartimplantaat, een thuismonitor of een programmeerapparaat in het ziekenhuis. Medtronic voert veiligheidscontroles uit om te zoeken naar ongeautoriseerde of ongewone activiteiten die verband zouden kunnen houden met deze kwetsbaarheden.

Misbruik van deze kwetsbaarheden met het doel om een patiënt letsel toe te brengen, vereist gedetailleerde kennis van medische hulpmiddelen, draadloze telemetrie en elektrofysiologie.

Misbruik is ook moeilijker omdat:

• tijdens de implantatieprocedure en de vervolgcontrolebezoeken in het ziekenhuis de Conexus-telemetrie moet worden geactiveerd door een zorgverlener die zich in dezelfde ruimte bevindt als de patiënt;
• de activatietijden buiten het ziekenhuis beperkt zijn, ze per patiënt verschillen en ze moeilijk te voorspellen zijn door een ongeautoriseerde gebruiker;
• een ongeautoriseerd persoon zich dicht bij een actief hulpmiddel, monitor of klinisch programmeerapparaat moet bevinden om deze kwetsbaarheden te kunnen misbruiken.
  Afhankelijk van de omgeving is het typische maximale communicatiebereik tussen een actief hulpmiddel en een monitor of programmeerapparaat niet meer dan 6 meter.

Beperking

Medtronic ontwikkelt updates om deze kwetsbaarheden te beperken. We zullen patiënten en artsen informeren zodra deze beschikbaar komen (onderhevig aan goedkeuring door regelgevende instanties).

Medtronic raadt patiënten en artsen aan deze hartimplantaten te blijven gebruiken zoals voorgeschreven en bedoeld. De voordelen van controle op afstand wegen zwaarder dan het praktische risico dat deze kwetsbaarheden zouden kunnen worden misbruikt. Deze voordelen omvatten het eerder detecteren van ritmestoornissen, minder ziekenhuisbezoeken en verbeterde overlevingskansen.

Patiënten die zich zorgen maken over deze cyberveiligheidskwetsbaarheden, kunnen hun zorgen bespreken met hun arts.

Het volledige bijgewerkte advies van ICS-CERT kunt u hier vinden.

Producten die het betreft

Hartimplantaten en accessoires die gebruikmaken van Conexus-telemetrie omvatten:

Veelgestelde vragen

V: Wat is er gedaan om deze kwetsbaarheden aan te pakken?
A: Medtronic heeft het oppervlak van de implantaten verkleind waarop een aanval kan plaatsvinden, en het tijdsbestek verkort waarin telemetrie C actief is. IT-beveiligingsprofessionals die nog vragen hebben, kunnen contact opnemen met Customer Care (zie rechterkolom) of met het cybersecurityteam van Medtronic via onze Patient Services in de VS. Als onderdeel van onze voortdurende alertheid voert Medtronic veiligheidscontroles uit om te zoeken naar onbevoegde of ongebruikelijke activiteiten met betrekking tot deze kwetsbaarheden.

V: Hoe worden deze updates doorgevoerd in patiëntimplantaten?
A: Het hartimplantaat van een patiënt krijgt automatisch de bijgewerkte software tijdens het uitlezen van het implantaat bij het volgende vervolgcontrolebezoek in het ziekenhuis.

V: Hoe weten patiënten of hun implantaat is bijgewerkt?
A: Patiënten moeten contact opnemen met hun arts om te achterhalen of hun implantaat is bijgewerkt.

V: Waarom heeft de FDA een veiligheidswaarschuwing afgegeven over dit probleem?
A: Medtronic heeft kwetsbaarheden bekendgemaakt met betrekking tot de beschermde draadloze communicatietechnologie (Conexus-telemetrie) die verband houdt met bepaalde ICD's, CRT-defibrillatoren en programmeerapparaten van Medtronic. We hebben ook richtlijnen gedeeld om de cyberbeveiligingsrisico's met betrekking tot Conexus-telemetrie te beperken.

V: Wat is het praktische risico voor een patiënt?
A: Alhoewel een onbevoegde gebruiker toegang zou kunnen krijgen tot de Conexus-telemetrie, betekent die toegang niet dat de onbevoegde gebruiker het hartimplantaat kan beïnvloeden of de instellingen ervan kan veranderen. Om misbruik te kunnen maken van deze kwetsbaarheden is uitgebreide en gespecialiseerde kennis van medische hulpmiddelen, draadloze telemetrie en elektrofysiologie vereist. Deze kwetsbaarheden zijn niet toegankelijk via internet.

Tot op heden is er geen enkele cyberaanval of letsel aan een patiënt waargenomen of geassocieerd met deze kwetsbaarheden.

V: Wat moet een patiënt nu doen?
A: Medtronic raadt patiënten en artsen aan om de implantaten te blijven gebruiken zoals voorgeschreven en bedoeld. De voordelen van controle op afstand wegen zwaarder dan het praktische risico dat deze kwetsbaarheden zouden kunnen worden misbruikt. De volgende richtlijnen moeten worden gevolgd om het risico op deze kwetsbaarheden verder te verkleinen:

• Gebruik alleen de monitor voor controle op afstand die u rechtstreeks van een zorgaanbieder of Medtronic hebt gekregen. Dit helpt de betrouwbaarheid van het systeem te waarborgen.
• Zorg ervoor dat de monitor altijd is aangesloten.
• De monitor moet ingeschakeld blijven om ervoor te zorgen dat alle draadloze CareAlerts™ die door de arts zijn geprogrammeerd en/of alle automatisch geplande transmissies op afstand plaatsvinden.
• Controleer de monitor regelmatig fysiek.
• Meld zorgwekkend gedrag met betrekking tot deze producten aan een zorgaanbieder of aan Medtronic.

Patiënten die zich zorgen maken over deze cyberveiligheidskwetsbaarheden, kunnen deze bespreken met hun arts.

Contact met Medtronic

Neem contact op met Customer Care (zie rechterkolom) of met uw lokale vertegenwoordiger van Medtronic.

Disclaimer: Deze pagina bevat mogelijk informatie over producten die niet beschikbaar zijn in uw regio of land. Lees eerst de goedgekeurde indicaties voor gebruik. Informatie over specifieke producten van Medtronic is niet bestemd voor gebruikers in markten die geen toestemming voor het gebruik hebben.