USA : 500 000 pacemakers vulnérables aux cyberattaques

En septembre 2016, MedSec, entreprise américaine spécialisée dans la recherche de solutions de sécurité des appareils médicaux, publie un rapport remettant en cause le niveau de sécurité des pacemakers de la marque Abbott's. Selon la société, les dispositifs ne seraient pas assez sécurisés. Près de 2 ans plus tard, la FDA ordonne une mise à jour du firmware des dispositifs de la marque.

De la simplification d'une tâche à la possibilité de sauver des vies, l'informatique et la technologie offrent de nombreux avantages pour améliorer le quotidien. Le pacemaker fait partie de ces créations technologiques quasi-miraculeuses permettant d'accélérer le rythme cardiaque d'une personne dont le cœur bat trop lentement, et ainsi de prolonger sa vie. Le premier dispositif du genre a été officiellement posé le 8 octobre 1958 par le chirurgien suédois Åke Senning.

Une authentification RSA 24-bits, en 2018...

L'histoire commence au mois de septembre 2016 lorsqu'Abbott's, entreprise pharmaceutique américaine, attaque la société MedSec pour diffamation suite à la publication de son rapport remettant en cause le niveau de sécurité de ses pacemakers. D'après la société de sécurité, les dispositifs de la marque n'étant chiffrés qu'en RSA 24-bits, ils peuvent être modifiés ou « contrôlés » par n'importe quel appareil reconnaissant le protocole. Parmi les fonctions les plus critiques et très mal sécurisées se trouve notamment la fréquence des chocs électriques qui définissent la vitesse des battements du cœur.

Suite aux joutes judiciaires qui s'engagent entre les deux marques, la FDA (Food & Drug Administration), administration en charge des denrées alimentaires et des enjeux de santé aux États-Unis, lance une enquête en collaboration avec le DHS (Department of Homeland Security) afin de déterminer si les pacemakers de la marque Abbott's sont suffisamment sécurisés. Les résultats de l'enquête sont formels et donnent raison à la première publication de l'entreprise MedSec : non, les dispositifs Abbott's ne sont pas assez sûrs.

Suite à cette confirmation, Abbott's a préféré abandonner la bataille judiciaire et a accepté de lancer des correctifs de sécurité sur ses appareils. On dénombre pas moins de 465 000 personnes concernées et invitées à faire la mise à jour de leur dispositif dès leur prochaine visite médicale.

Une mise à jour potentiellement dangereuse

Afin de profiter du correctif de sécurité destiné aux pacemakers Abbott's, chacun des patients équipés de l'un des dispositifs de l'entreprise pharmaceutique doit se rendre dans un centre hospitalier du pays. Une mise à jour dont la durée est estimée à 3 minutes et durant laquelle les appareils se mettent en « mode secours » à un rythme fixe de 67 battements par minute.

Oui mais voilà : Abbott's prévient également que le téléchargement de la mise à jour est susceptible d'entraîner des effets secondaires tels qu'une sensation d'inconfort, une perte des réglages et de la mémoire de l'appareil, voire même une incapacité à traiter la tachycardie ventriculaire ou à pratiquer une fibrillation d'urgence en cas de besoin. La FDA déclare cependant que seuls 0,62 % des patients ayant déjà fait la mise à jour ont rencontré des problèmes.