Pourquoi les dispositifs médicaux connectés sont-ils vulnérables aux attaques et quelle est la probabilité qu'ils soient piratés ?
Voici cinq failles numériques qui peuvent menacer votre santé.
Il n’y a pratiquement aucun domaine de la santé qui n’adopte pas les nouvelles technologies. Appareils de santé connectés, implantés dans votre corps ou portés, tel que les montres et les vêtements intelligents, comment assurer une protection optimale à ces équipements ?
Il y a plusieurs années, à Black Hat (conférence dont le thème est la cyber sécurité), nous avons assisté au piratage d’une pompe à insuline. Et même si la majeure partie des logiciels de cet appareil étaient disponibles en logiciels libres, les autorités de réglementation affirment que l’intégrateur est responsable de la sécurité de bout en bout. En d’autres termes, les fabricants d’appareils portent la responsabilité, quelle que soit les technologies qu’ils utilisent.
Si cela fait peser le fardeau de la sécurité sur le fabricant, cela augmente aussi considérablement le coût et la complexité de la mise sur le marché d’un appareil. Par conséquent, alors que la pression du marché pousse les entreprises à produire rapidement des dispositifs, la route qui s’ouvre devant elles s’annonce semée d’embûches et coûteuse.
Prenons le cas de États Unis, en particulier concernant les correctifs ; qui est responsable de ceux-ci ? Selon la FDA (https://www.fda.gov/), le fabricant en est responsable. Certains dispositifs médicaux doivent exister pendant de nombreuses années, il faut beaucoup assurer leur pérennité et leur maintien en conditions opérationnelles.
Qu’est-ce qui rend ces dispositifs vulnérables et quelle est la probabilité qu’ils soient piratés ? Comme cela fut abordé lors Mois de la cybersécurité (octobre 2020), voici 5 thématiques concernant la sécurité des dispositifs connectés à Internet dans le domaine de la santé :
Bluetooth
De nombreux appareils médicaux intègrent surveillance et interaction via Bluetooth. Ceci présente de nombreuses vulnérabilités. Et même s’il existe des correctifs, il est difficile de déterminer leur taux d’adoption réel sur le terrain. En attendant, si votre mesure de glycémie est falsifiée, vous pourriez être en réel danger physique si vous essayez d’ajuster vos niveaux de glycémie en vous basant sur de fausses lectures.
MS Windows
De nombreux hôpitaux utilisent des ordinateurs pour la gestion de leurs équipements médicaux, dont certains fonctionnent avec d’anciennes versions de MS Windows. Celles-ci ne sont plus prises en charge et ne bénéficient plus mises à jour. Lorsque le fabricant souhaite appliquer les derniers correctifs, il doit se livrer à des tests approfondis pour déceler des problèmes d’intégration. Ce laps de temps, laisse à l’attaquant potentiel la possibilité de déployer des exploits connus, et ceci bien avant que le fabricant ne puisse réagir.
Cloud
De nombreux dispositifs implantés font des appels automatisés aux médecins via connexion dans le cloud afin de faciliter les mises à jour de l’état de santé et déclencher des événements si les patients nécessitent l’attention du praticien. Il est peu probable que le patient ait un moyen d’en connaître les vulnérabilités potentielles, mais les attaquants s’emparent rapidement des exploits connus, les faisant passer assez rapidement à travers leurs outils d’attaque. Dans certains cas, les patients ont choisi de ne pas autoriser de communications externes avec leur stimulateur cardiaque en raison de leurs craintes de piratage. Notons que l’utilisation du cloud, pour les appareils implantés, est un facteur positif d’adoption future.
Ethernet
De nombreux appareils médicaux se connectent aux réseaux médicaux TCP/IP via Ethernet, mais il serait très difficile pour les équipes soignantes ou les patients de remarquer un objet connecté ajouté au réseau de manière illégitime. En analysant les communications réseau, les attaquants peuvent identifier les appareils connectés et en déduire leurs vulnérabilités. De cette façon, les attaquants n’ont besoin que d’un accès physique unique et ne doivent pas nécessairement revenir pour récupérer l’appareil s’il est jugé dangereux, en raison de son faible coût.
Claviers sans fil
Depuis quelque temps, les enregistreurs de frappe (keylogger) sont couramment utilisés pour enregistrer les frappes de clavier sans fil, se faisant passer pour de faux chargeurs USB branchés sur des prises, tout en espionnant les signaux et en les exfiltrant sur des cartes réseaux sans fil (wifi, 4G). Cela permet de saisir des données sensibles comme des mots de passe, mais peut aussi permettre aux attaquants de tenter de télécharger et d’installer des portes dérobées à distance.
En conclusion
Le domaine médical est, depuis des années, particulièrement sensibilisé aux risques cyber. Pourtant, par de multiples aspects, des efforts considérables sont à déployer pour augmenter la résistance globale du secteur face aux cyber menaces : sensibiliser le facteur humain, soignant ou utilisateur, sécuriser et mettre à jour les infrastructures et le matériel et impliquer les fabricants pour que le security by design soit la norme.