Un pacemaker désactivé en raison d’une faille de cyber-sécurité. Cela peut sembler futuriste. Et pourtant, un vice-président des Etats-Unis n’a pas eu le choix : Dick Cheney n’a réactivé le dispositif cardiaque qu’après son mandat, en 2009. Il en a fait l’annonce quatre ans plus tard. Stupéfiant le monde au passage. L’homme politique a ainsi voulu éviter tout risque de piratage aux conséquences potentiellement mortelles.
Cette réalité, l’Agence américaine des produits alimentaires et médicamenteux (FDA) en a pris conscience. Les dispositifs médicaux qui aident le cœur à assurer sa fonction vitale sont exposés aux hackers. Ce 28 décembre, elle publie donc ses recommandations à destination des fabricants de dispositifs médicaux.
Corriger les failles en amont
Chaque année, 60 à 70 000 pacemakers sont implantés en France. Ces appareils sont vitaux pour les patients : ils aident le cœur à battre au bon rythme à l’aide de stimulation électrique. Une méthode efficace, mais pas sans risque. En effet, elle fonctionne le plus souvent sans fil. « Nous connaissons de grandes avancées technologiques, reconnaît sur le blog de la FDA la directrice adjointe du département de la Science et des Partenariats stratégiques. Dans le même temps, la hausse du risque de failles de sécurité pourrait affecter la performance et le fonctionnement des dispositifs », ajoute Suzanne Schwartz.
Les recommandations de l’Agence incitent les fabricants à se montrer proactifs en la matière. Elles demandent aux industriels de mettre en place des systèmes de contrôle et de sécurité dès l’étape de développement. Après la mise sur le marché, la surveillance doit se poursuivre. Aux yeux de la FDA, deux priorités sont définies. Elles sont dépendantes l’une de l’autre : évaluer les vulnérabilités éventuelles – et les rectifier si nécessaire – et introduire un moyen de corriger les failles avant qu’elles ne soient exploitées.
D’autres dispositifs à risque
« Les menaces de cyber-sécurité sont réelles, permanentes, et en mutation constante », rappelle Suzanne Schwartz. Un ancien hacker l’a bien montré, lors d’un congrès de sécurité informatique en 2014. Il est parvenu à pirater plusieurs dispositifs à la suite. Ce risque s’étend à d’autres dispositifs médicaux que le pacemaker. Les pompes à insuline les plus récentes, par exemple.
Le laboratoire Johnson&Johnson en a récemment fait les frais. Son produit est équipé d’une commande sans fil, censée apporter plus de confort. Mais les échanges entre la pompe et la commande ne sont ni cryptés, ni brouillés. Un hacker situé à moins de 762 mètres d’une pompe peut augmenter la dose d’insuline délivrée. Une telle action provoquerait donc une hypoglycémie, qui peut s’avérer mortelle pour un patient fragile.
La mise sur le marché prochaine des pancréas artificiels devrait soulever des problèmes du même type.