Les hackers ciblent les dispositifs médicaux

Même le porte-parole de la société impliquée l’admet, on tient là les ingrédients d’un «magnifique thriller» mélangeant haute technologie et peur de l'assassinat. Fin août 2011, Jay Radcliffe, un expert en sécurité lui-même diabétique, montre qu’il peut manipuler à distance la pompe à insuline dont il est équipé. Aïe, ce n'est pas du tout prévu par le fabricant et c’est pour le moins inquiétant: des personnes mal intentionnées pourraient en effet mettre des malades en danger. Cet exploit est-il significatif? Regards sur l’émergence du hacking médical.

Flashback. Dans sa démonstration Radcliffe fait la preuve qu’il peut ordonner à sa pompe de se vider entièrement. Il recevrait donc jusqu’à trois cents unités d’insuline en un temps très court, une manœuvre pour le moins dangereuse pour le patient. Quelques mois plus tard, un autre expert en sécurité reproduit son exploit mais le généralise. Quand Radcliffe se servait du numéro de série de sa propre pompe pour la «détourner», Barnaby Jack, lui, n’a pas besoin de cette information et peut donc prendre le contrôle de n’importe quel exemplaire du dispositif, et ce jusqu’à une distance de 90 mètres (300 pieds).

En avril 2012, le géant de la sécurité informatique McAfee qui emploie Barnaby Jack met en scène son exploit à la conférence RSA et la BBC s’en fait l’écho. Si l’information n'est pas nouvelle, l’article rappelle que l’ère du piratage de dispositifs médicaux avait déjà commencé en 2008 quand une équipe américaine a montré qu'elle pouvait manipuler à mauvais escient un défibrillateur implantable, mais à une distance infiniment moindre (quelques dizaines de centimètres).

Des barrières malgré tout

Dans une présentation en 2011, Barnaby Jack affirmait que, pour ce qui était du hacking de l’électronique embarquée (distributeurs de billets, caisses enregistreuses, implants médicaux, etc.), la «chasse était ouverte». Chef du département de hacking éthique chez High-Tech Bridge à Genève, Frédéric Bourla confirme: «Oui, c’est un terrain en friche. Les attaques qui visent du matériel implanté sont de plus en plus fréquentes; ce domaine était demeuré sous-estimé. Les banques ont été les premières à être visées, suivies par les industriels. Il n’y avait pas de raison que le monde médical y échappe. Et les failles sont bel et bien présentes.»

Du côté des médecins, on tient pourtant à rassurer. Oui, le risque existe mais «il est considéré par la communauté médicale comme faible», explique le docteur Haran Burri, médecin adjoint au service de cardiologie des Hôpitaux universitaires de Genève. Il faut une grande expertise pour une telle manœuvre, ajoute-t-il, posant la question du motif de l'attaquant: «Il est probablement plus facile d’assassiner un chef d’Etat étranger avec un sniper», sourit-il. Il poursuit: «Les pirates informatiques cherchent la gloire ou l'argent. Pénétrer sur le site de la NASA, c’est un challenge; infiltrer une banque peut être lucratif; mais là, commander un choc de défibrillateur implanté, ce serait de la pure malveillance.»

Le docteur Burri signale pourtant que, vulnérabilité du matériel ou pas, il existe des barrières mises en place par les fabricants. Ainsi, nombre de pacemakers ou de défibrillateurs implantés aujourd’hui envoient automatiquement des données sur l’état du patient et du dispositif, des données que le médecinpeut analyser par télémédecine en l’absence du porteur. Techniquement, il serait possible de fournir au pacemaker ou au défibrillateur une nouvelle programmation par ce canal; et pourtant les fabricants s’y refusent. Pour une telle opération, le patient et le médecin doivent être face à face. «Oui, cela m’arrangerait, mais pour la sécurité du patient, il est bien que pour l’instant cela ne soit pas possible», assène Haran Burri.

Medtronic n’est pas inquiet

Et le fabricant? Medtronic, puisqu’il s’agit bien de lui dans les deux cas, commence par déplorer l’écho médiatique qu’ont eu tant le piratage du défibrillateur implantable que celui de la pompe à insuline. «Cela nous fait beaucoup de peine, regrette son porte-parole Eric Gasser, car nous recevons des appels de patients et de médecins; cela fait peur à beaucoup de monde alors qu’il n’y a pas de cas réels connus.» Sur ce dernier point, il a parfaitement raison. Les deux exploits sont théoriques et réalisés en laboratoire. Aucun cas réel n'a jamais été signalé. «C’est donner de l'importance à un problème fictif, ajoute-t-il. Oui, on peut ‘bricoler’ les freins d’une voiture, mais cela ne fait pas la une des journaux.»

Le représentant de Medtronic concède cependant que, depuis 2008, le problème est pris «très au sérieux». Et d’expliquer qu’une initiative de sécurisation des dispositifs a été lancée au sein de la société dont les premiers résultats devraient être présentés à l’été 2012.

Pressent-on la direction que prend cet effort de sécurité? «On ne révélera sans doute pas beaucoup de détails précis là-dessus.» L’éternel jeu du chat et de la souris des fabricants et des hackers…

Une période charnière

Une piste pourtant est évoquée: dans de nombreux cas, la communication à distance utilisée pour récolter des données est ouverte en permanence. Pour plus de sécurité, ce canal devrait être fermé la plupart du temps et disponible seulement quand le besoin de transmettre des données est présent. Frédéric Bourla abonde en ce sens: «Normalement, en sécurité informatique, on ouvre un minimum d'accès et on les ouvre de manière ponctuelle.» Il ajoute que, dans le cas de la pompe à insuline, on peut se demander quelle est l’utilité qu’on puisse échanger avec elle jusqu’à une distance de 90 mètres. La solution, logique, serait d’intégrer aux dispositifs des antennes moins puissantes ou de moins alimenter les antennes existantes. Et crypter la communication entre le dispositif et l’appareil de récolte des données et/ou de programmation? Là, l’expert est moins pressant: «Avec une activation ponctuelle, le risque serait déjà limité, mais chiffrer serait effectivement mieux.»

Devant ces dangers, faut-il donc se débarrasser des implants médicaux ? Evidemment non. Le risque existe, tous les acteurs en conviennent mais, à l’heure actuelle, il est strictement théorique. Surtout, il semble que les fabricants de dispositifs médicaux commencent à prendre la mesure du problème et intègrent davantage les questions de sécurité électronique au développement de leurs produits. Du côté de Medtronic, rendez-vous est pris pour mi 2012. A moins que des hackers entreprenants ne viennent à nouveau faire les gros titres.