Resumen ejecutivo

CISA publicó el 13 de agosto de 2026 el advisory ICSMA-26-225-01 que documenta la vulnerabilidad CVE-2026-18164 en el neuroestimulador transcranial de corriente directa (tDCS) Flow FL-100 de Flow Neuroscience, dispositivo Clase IIa indicado para el tratamiento domiciliario del trastorno depresivo mayor (TDM). Un atacante dentro del radio Bluetooth del dispositivo puede manipular los parámetros de estimulación cerebral y sobreescribir los límites de seguridad, con riesgo clínico directo para el paciente (corriente excesiva, polaridad invertida, sesiones prolongadas). CVSS v3.1 8.3 (HIGH) — vector AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H — confirma ataque adyacente (BLE) sin autenticación ni interacción del usuario. Versiones afectadas: Flow FL-100 y Halo Neuroscience FL-100 con firmware anterior a julio de 2026. Hay parche disponible distribuido vía la app Flow. Sector afectado: IoMT — dispositivos médicos de uso domiciliario para salud mental, con impacto potencial en miles de pacientes en tratamiento ambulatorio en EE.UU. y UE.

Puntos clave

  • Vector y superficie de ataque: el dispositivo expone una interfaz BLE sin autenticación robusta (CVSS AV:A adyacente ≈ radio BLE ~10 m, PR:N privilegios requeridos nulos, UI:N sin interacción del usuario). Un atacante con un sniffer BLE estándar (Ubertooth, nRF Connect, GATTacker) puede emparejarse o inyectar comandos directamente.
  • CVE-2026-18164 — manipulación de parámetros y bypass de límites de seguridad: la explotación exitosa permite modificar la corriente de estimulación (rango típico del dispositivo: 0.5–2 mA), la duración de la sesión, la polaridad de los electrodos y, de forma crítica, sobreescribir los topes de seguridad (current clamps, session timeouts, interlock checks) que el fabricante implementó como red de seguridad clínica.
  • CVSS v3.1 8.3 (HIGH) — vector completo AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H: confidencialidad nula (el dispositivo no exfiltra datos), pero integridad y disponibilidad altas — exactamente el patrón de riesgo clínico donde el dispositivo “parece funcionar” pero entrega estímulos fuera de prescripción. CVSS v4.0 AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N lo confirma.
  • Dispositivo y población afectada: Flow FL-100 (CE Mark MDR Clase IIa, comercializado en UE y UK para TDM) y Halo Neuroscience FL-100 (mismo hardware, rebranded para rendimiento cognitivo/atlético). Uso domiciliario, no hospitalario — los pacientes están en sus casas, a menudo solos durante la sesión de 20–30 minutos. Estimaciones internas del fabricante indican base instalada en cinco dígitos en Europa.
  • Riesgo clínico directo: la tDCS aplica corriente continua a través de electrodos sobre el cuero cabelludo (cortezas prefrontal dorsolateral / frontal). Sobre-corriente (>2–4 mA), polaridad invertida o sesiones prolongadas pueden producir quemaduras cutáneas, cefalea severa, fosfenos, manía en pacientes bipolares no diagnosticados, convulsiones en pacientes con lesiones cerebrales no conocidas, y arousal simpático con efectos cardiovasculares.
  • Parche disponible pero despliegue opaco: Flow Neuroscience ha publicado firmware corregido vía la app Flow desde julio de 2026. CISA no lo ha incluido en el KEV Catalog (no hay exploits públicos confirmados), pero la facilidad de exploitation BLE — sin auth, sin UI, adyacente — coloca la barrera técnica del ataque en mínimos para cualquier investigador o atacante con motivación clínica/chantaje dirigida.
  • No listado en KEV, pero el vector es trivial: a diferencia de CVEs que requieren chaining o phishing, este ataque se ejecuta pasivamente cerca del paciente (cafetería, transporte público, oficina, domicilio del atacante conocido). El “perímetro” del dispositivo médico se reduce al radio BLE del paciente.

Implicaciones regulatorias

FDA (EE.UU.)

Flow FL-100 no tiene clearance 510(k) ni De Novo autorizado para depresión en EE.UU. en el momento del advisory — su uso en el mercado estadounidense es principalmente como dispositivo de wellness/research. Sin embargo, si se reclasificara o si variantes del dispositivo entraran en el mercado regulado, el advisory alimentaría directamente el expediente de §524B FD&C Act (cyber device monitoring y coordinated vulnerability disclosure) y obligaría al fabricante a entregar threat model, SBOM y plan de parcheado post-market. El advisory crea precedente para que FDA aplique el principio de “vulnerability should be designed out” cuando un dispositivo Clase II/III expone interfaz inalámbrica sin autenticación adecuada.

MDR (UE)

Flow Neuroscience opera en UE bajo MDR (Clase IIa). El advisory activa la obligación de vigilancia post-market (Art. 84–86 MDR) y, dada la naturaleza del fallo (manipulación de parámetros terapéuticos), obliga a:

  • FSCA (Field Safety Corrective Action) formal si el fabricante notifica a usuarios — la distribución del firmware vía app es equivalente a un patch que requeriría notificación a usuarios y autoridades competentes según MDCG 2019-16 rev 1.
  • Notificación de incidente grave (Art. 87 MDR, ≤15 días) a la autoridad competente del país donde esté establecido el fabricante y al HSC (Health Security Committee) si afecta a más de un Estado miembro.
  • Actualización del PSUR (Periodic Safety Update Report) con la nueva vulnerabilidad y el parche aplicado.

GDPR

El dispositivo procesa datos de salud mental (App Flow registra adherencia al tratamiento, estado de ánimo, sesiones) — esto son categorías especiales de datos bajo Art. 9 GDPR. Una vulnerabilidad Bluetooth que permita manipular el dispositivo pero no necesariamente exfiltre datos no activa directamente Art. 33 (notificación de breach), pero si la explotación permitiera acceso a datos de la app companion (frecuencia cardíaca opcional, logs de uso), el fabricante tendría 72 horas para notificar a la autoridad de control. Cloud platforms y mobile apps que extienden el dispositivo están explícitamente en el scope del nuevo MDR cybersecurity framework.

NIS2 / ENS

Los operadores de salud esenciales (hospitales con clínicas de salud mental, sistemas de telemedicina que prescriben el dispositivo) son entidades esenciales bajo NIS2 (Anexo I, sector salud) y deben cumplir Art. 21 (medidas de gestión de riesgos). El advisory obliga a:

  • Inventario de dispositivos IoMT en uso por pacientes ambulatorios (challenge: dispositivos en domicilio, no en el perímetro hospitalario).
  • Procedimiento de notificación a pacientes si forman parte del proceso clínico.
  • ENS ALTO en España: las medidas [op.cont.4] (gestión de incidentes), [op.exp.5] (vulnerabilidad) y [op.mon.1] (monitorización) aplican cuando el dispositivo se conecta a redes corporativas o se monitoriza remotamente.

HIPAA

Si la prescripción se origina en un covered entity bajo HIPAA y el dispositivo procesa PHI (depresión, medicación concomitante, suicidalidad screenings), el fallo del dispositivo impacta la §164.308(a)(1)(ii)(A) risk analysis del covered entity. La vulnerabilidad técnica en sí no es una violación HIPAA, pero no parchear un dispositivo prescrito por el covered entity cuando el fabricante ha publicado parche podría considerarse falla en el §164.308(a)(8) evaluation.

Recomendación

Acciones inmediatas en las próximas 72h: (1) Inventariar todos los Flow FL-100 y Halo FL-100 en uso por pacientes depresivos bajo prescripción propia o de partners de telemedicina (consultar logs de prescripción y registro de dispositivos en app companion); (2) Verificar versión de firmware — los dispositivos con firmware anterior a julio de 2026 son vulnerables; abrir ticket con Flow Neuroscience si la app Flow no detecta automáticamente la actualización; (3) Notificar a pacientes con dispositivo vulnerable por canal seguro (app Flow in-app message, email encriptado, llamada clínica) sobre la actualización y los síntomas de sobre-estimulación (cefalea persistente, fosfenos, ardor en electrodos, sedación/activación paradójica) — no suspender uso sin alternativa clínica; (4) Suspender prescripciones nuevas del dispositivo hasta confirmar firmware actualizado en flota, especialmente en pacientes con comorbilidad neurológica o bipolar no diagnosticada; (5) Coordinar con psiquiatría de enlace para que cualquier efecto adverso inesperado durante una sesión se evalúe como posible evento de seguridad del dispositivo, no solo como variabilidad clínica; (6) Revisar la integración clínica del FL-100 con EHR / historia clínica electrónica — el log de sesiones en la app Flow debe reconciliarse con el registro clínico del paciente para detectar parámetros fuera de rango; (7) Documentar el incidente internamente como input al PSUR y al risk analysis §164.308 si aplica HIPAA, y preparar borrador de notificación a la autoridad competente MDR bajo Art. 87 si el fabricante aún no lo ha hecho público; (8) Reforzar la comunicación con el fabricante exigiendo confirmación escrita del rollout del parche, registro de pacientes no actualizados, y plan de retirada del mercado si la base instalada es resistente a la actualización OTA — un dispositivo implantable de seguridad crítica en domicilio sin canal de actualización obligatorio es una falla de §524B(b) (post-market monitoring).

Fuente: CISA ICSMA-26-225-01 — Flow Neuroscience FL-100

Este análisis es parte de HealthSec, la newsletter semanal sobre ciberseguridad en sanidad.