Mieux vaut avoir le cœur bien accroché à la lecture du dernier rapport de la société WhiteScope. Spécialisée dans la sécurité informatique, elle vient d’analyser la qualité de la protection des pacemakers. Les résultats font froid dans le dos. Sur les sept produits passés en revue, 8 600 failles de sécurité ont été relevées.
Les fabricants de pacemakers semblent ne pas avoir redoublé d'efforts pour placer leurs dispositifs à l’abri des cybercriminels. La totalité des appareils ne crypte pas une partie des données. Une analyse basique est donc possible. Mais les pacemakers et les logiciels associés ouvrent aussi de nombreuses possibilités aux esprits plus malveillants.
Des logiciels des années 1980
Programmeurs et médecins n’ont pas besoin de s’authentifier pour modifier les paramètres du défibrillateur, qui communique sans fil. N’importe quelle personne suffisamment formée peut donc reprogrammer un pacemaker… et ralentir sa fréquence. C’est la raison pour laquelle l’ancien vice-président américain Dick Cheney avait débranché son propre appareil lorsqu’il était en fonction.
Les stimulateurs cardiaques ne sont pas seuls en cause. Les logiciels appairés et les composants souffrent eux aussi de failles lourdes. La plus impressionnante bourde se situe sans doute du côté des mises à jour. Dans certains cas, les pacemakers dépendent encore de programmes opérant sous Windows XP… voire de systèmes d’exploitation datant des années 1980 !
Les leçons de l’attaque mondiale
L’ampleur du problème est telle que la société WhiteScope évoque « un problème d’échelle industrielle associé aux mises à jour de sécurité des logiciels ». Les librairies de code utilisées par les programmes peuvent elles aussi être obsolètes et mal sécurisées.
Ces lacunes peuvent se révéler lourdes de conséquences, comme l’a montré la récente attaque de rançongiciel WannaCry. Au Royaume-Uni, nombre d’hôpitaux ont fait les frais de leur obsolescence.
Les auteurs de ce rapport le soulignent, la plupart de ces failles sont connues. Ce n’est d’ailleurs pas la première alerte sur le sujet. En décembre 2016, l’Agence américaine des produits alimentaires et médicamenteux (FDA) a appelé les fabricants de dispositifs médicaux à faire des efforts en matière de sécurité.
« Nous connaissons de grandes avancées technologiques. Dans le même temps, la hausse du risque de failles de sécurité pourrait affecter la performance et le fonctionnement des dispositifs », a alors averti la directrice adjointe du département de la Science et des Partenariats stratégiques, Suzanne Schwartz. Rien qu’en France, 60 à 70 000 pacemakers sont implantés chaque année.
