Des pacemakers hackés à distance
Dans notre dossier consacré au cybercrime et au piratage dans les soins de santé (jdM n°2472), Jean-Pierre Heymans rappelait la facilité avec laquelle aujourd'hui on peut pirater des appareils médicaux notamment implantables. Des chercheurs de la KU Leuven viennent de le démontrer en modifiant les données de pacemakers et de pompes à insuline. Un jeu d'enfant apparemment.
L'information est parue dans le Tijd ce week-end (26/11) : deux chercheurs louvanistes Dave Singelée et Eduard Marin ont réussi à l'aide d'une antenne de fortune à pirater dix appareils médicaux implantables.
Les appareils proviennent d'une marque réputée. Il s'agit de pacemakers, de pompes à insuline et de neurostimulateurs pour patients chroniques. Les dispositifs se sont révélés être de véritables passoires.
Le piratage se révèle relativement facile, relève le Tijd. On se branche sur l'appareil à l'aide d'une antenne bricolée. On introduit le nom du patient puis à l'aide d'un programme informatique on modifie les données du patient. Cela prend quelques minutes. L'ordinateur du dispositif médical ne voit pas la différence avec la vraie commande à distance.
Le talon d'Achille de ces appareils c'est le wifi. Or la plupart fonctionnent aujourd'hui sans fil. Cette technologie permet en effet de modifier les paramètres sans opération chirurgicale pour s'adapter à l'évolution du malade.
La volonté des fabricants de pouvoir contrôler les appareils à plus grande distance (via smartophone notamment) rend les choses encore plus dangereuses. Le piratage n'est alors plus seulement possible à 2-3 mètres mais à 20 mètres de l'appareil ou davantage. "On peut carrément tuer le patient", confirme au Tijd Rik Willems, cardiologue à l'UZ Leuven.
Les chercheurs ne veulent pas jeter l'opprobre sur le fabricant en particulier car ils estiment que tout le secteur est touché. Mais "ceci démontre l'urgence de mettre en place des mesures de sécurité supplémentaires", soulignent Dave Singelée et Eduard Marin.
Selon ces experts, des solutions d'encryptage de la communication avec l'appareil sont possibles. Le défi est apparemment que ces solutions de sécurité ne mettent pas en péril la durée de la batterie (notamment pour le pacemaker).