Des failles détectées dans les pacemakers de St Jude Medical pourraient être exploitées pour tuer des patients
Un correctif est disponible

Le , par Olivier Famien, Chroniqueur Actualités
Il y a quelques jours, l’agence américaine des produits alimentaires et médicamenteux (FDA) a émis une alerte à cause de plusieurs failles découvertes dans le système des stimulateurs cardiaques (pacemakers) et des défibrillateurs implantables ainsi que dans celui des appareils de surveillance à distance utilisés pour se connecter aux appareils implantés dans le corps des patients pour contrôler leur rythme cardiaque.

Pour les personnes extérieures à l’environnement médical, il faut savoir que lorsque des personnes ont un rythme cardiaque anormal (trop lent ou trop rapide), il peut arriver qu’on leur implante dans le corps un appareil (pacemaker, défibrillateur automatique implantable…) pour réguler le rythme des battements du cœur ou encore pour délivrer des décharges électriques en cas d’arrêt du cœur.

St Jude Medical est un centre médical qui fournit à ses patients un transmetteur baptisé Merlin@home qui est comme son nom l’indique, un dispositif de surveillance installé à la maison qui transmet et reçoit les signaux de fréquence radio utilisés pour se connecter à distance avec l’appareil implanté dans le corps du patient et lire les données de cet appareil implanté.

Étant donné qu’il est possible de lire les données de l’appareil implanté, cette fonctionnalité est utilisée pour suivre à distance le patient afin de lui éviter de fréquents déplacements dans les locaux du médecin qui le suit. Pour cela, le patient peut se connecter au réseau de soins des patients Merlin.net et faire en sorte que les données lues par le transmetteur soient chargées directement sur ce réseau pour que le médecin ou cardiologue qui suit le patient puisse surveiller en permanence les fonctions de l’appareil implanté.

Et c’est dans le système embarqué de ce transmetteur de St Jude Medical et celui des appareils pouvant être implantés dans le corps des patients que des failles ont été détectées. Selon la FDA, si ces vulnérabilités sont exploitées, elles pourraient permettre à une personne non autorisée d’avoir accès à la fréquence radio de l’appareil implanté dans le corps du patient après avoir modifié le transmetteur Merlin@home. Le transmetteur altéré pourrait ensuite être utilisé pour modifier les commandes de programmation de l’appareil implanté, ce qui pourrait avoir comme conséquence de décharger rapidement la batterie de l’appareil implanté ou encore de provoquer des chocs inopportuns qui pourraient entraîner la mort du patient.

Ayant eu connaissance de ces failles, le centre hospitalier St Jude Medical a sorti un correctif qui sera appliqué automatiquement aux moniteurs Merlin@home. Il suffit pour les détenteurs de cet appareil de le laisser se connecter à internet pour que les failles rapportées soient corrigées.

Source : St Jude Medical, FDA

Et vous ?

Qu’en pensez-vous ?

Voir aussi

Les logiciels de santé mis en cause dans des erreurs médicales, la menace de défaillance serait réelle dans de nombreux hôpitaux estime la CRCI
Une faille dans une application médicale fait office de porte dérobée et permet à un pirate d'obtenir ou modifier les données critiques des patients
Un équipement médical plante durant une opération sur le cœur à cause d'un scan antivirus qui s'est lancé en plein milieu de la procédure

La Rubrique sécurité, Forum sécurité, Cours et turoriels sécurtité, FAQs Sécurtié


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de marsupial marsupial - Membre éprouvé https://www.developpez.com
le 15/01/2017 à 8:11
Qu'en penser ?
ce n'est pas trop tôt mais il est bien tard. Le j'men foutisme ou naïveté sur la sécurité coûte bien cher par appât du gain ou faute de budget. Voire les deux.
Avatar de benjani13 benjani13 - Membre expérimenté https://www.developpez.com
le 15/01/2017 à 12:58
Citation Envoyé par Olivier Famien Voir le message
Il suffit pour les détenteurs de cet appareil de la laisser connecter à internet pour que les failles rapportées soient corrigées.
C'est quoi cette solution?! Laisser le bouzin sur internet...
Avatar de NSKis NSKis - Membre émérite https://www.developpez.com
le 15/01/2017 à 14:34
Citation Envoyé par marsupial Voir le message
Qu'en penser ?
ce n'est pas trop tôt mais il est bien tard. Le j'men foutisme ou naïveté sur la sécurité coûte bien cher par appât du gain ou faute de budget. Voire les deux.
Ce n'est ni du "j'men foutisme", ni de la naïveté, ni un problème de budget, c'est pire: c'est du marketing!!!

Il n'y a aucun besoin opérationnel de transformer un pacemaker en "objet connecté". C'est juste pour avoir un argument de plus face à la concurrence, il faut être "à la mode"!!! Malheureusement, leur métier c'est de fabriquer des "pacemakers" et ils devraient resté dans leur métier!!!

PS: Chaque jour qui passe apporte son nouveau lot de news annonçant que tel ou tel système a été piraté sur le net. Vouloir connecter un système qui est responsable du maintien en vie d'une personne sur le net, c'est juste criminel car il est tout simplement impossible d'assurer la sécurité absolu d'un objet connecté !!!
Avatar de marsupial marsupial - Membre éprouvé https://www.developpez.com
le 15/01/2017 à 15:36
J'ose espérer qu'ils ont prévu une LS sécurisée pour chaque update. Et j'espère que tous les fabricants de pacemaker communiqueront leurs specifications avant d'autres drames.
Mais je préfère la procédure chargement du patch sur une bécane en mode "tire et oubli", comprendre à usage unique.

vu la news je me méfie surtout lorsqu'on sait de quoi ils sont capables avec un politique à leur tête.
Avatar de TheLastShot TheLastShot - Membre averti https://www.developpez.com
le 15/01/2017 à 15:52
Le question que je me pose c'est surtout: Pourquoi on peut interagir depuis internet avec le pacemaker ? Que le pacemaker puisse envoyer des données ok, pourquoi pas... Mais pourquoi n'est-ce pas une connexion à sens unique ? Justement pour éviter ce genre de faille...
Avatar de Iradrille Iradrille - Expert confirmé https://www.developpez.com
le 15/01/2017 à 17:03
Citation Envoyé par TheLastShot Voir le message
Le question que je me pose c'est surtout: Pourquoi on peut interagir depuis internet avec le pacemaker ? Que le pacemaker puisse envoyer des données ok, pourquoi pas... Mais pourquoi n'est-ce pas une connexion à sens unique ? Justement pour éviter ce genre de faille...
Toujours la même raison :
"Si on trouve un bug plus tard on pourra le corriger automatiquement sans rappeler tous les pacemakers" -> on évite de dégrader l'image de marque en rappelant des objets défectueux / ça coute moins cher.

Une connexion à sens unique ? En théorie ça marche, en pratique tu auras très certainement une connexion bidirectionnelle : un système d'identification pour ne pas envoyer les données à n'importe qui / acknowledgement des messages etc...
Et... ça peut être exploité, même sans être connecté à Internet (quelle idée de connecter un pacemaker à Internet...), un voisin ou un inconnu à coté de toi dans la rue pourra communiquer avec le pacemaker.

La seule chose safe, c'est une communication filaire ou sans fils très faible portée (< 1 mètre). Mais c'est moins pratique, c'est sur.
Avatar de Felykanku Felykanku - Membre régulier https://www.developpez.com
le 15/01/2017 à 22:20
je pense de ma part que les mises à jour sur internet ne soient pas une meilleurs solutions. Car sur le Net la sécurité n'est pas toujours garenties; il y'a d'autres manières de corriger les bugs sans transiter sur le Net...
Avatar de 23JFK 23JFK - Membre éclairé https://www.developpez.com
le 16/01/2017 à 12:25
Physician est un faux ami qui doit être traduit par médecin. Un physicien a d'autre chose à foutre que de régler des pacemakers.
Avatar de TiranusKBX TiranusKBX - Expert confirmé https://www.developpez.com
le 16/01/2017 à 15:12
Il serait bien que la mode des outils médicaux connectés soit plus raisonnée ou alors leur imposer des test avant vente draconiens et hyper poussés
Avatar de Techys Techys - Membre régulier https://www.developpez.com
le 18/01/2017 à 11:42
Et si le SI de l'entreprise est piraté et que le patch est modifié par des pirates avec un patch virusé....
OUI je suis parano mais quand tu vois ce qui arrive avec les Ransonware... tu peux imaginer qu'à l'avenir que ce genre de soft arrivent pour prendre en otage numériquement des malades.
Offres d'emploi IT
Architecte électronique de puissance expérimenté H/F
Safran - Ile de France - Villaroche - Réau
Architecte technique des systèmes d'information H/F
Safran - Ile de France - Évry (91090)
Responsable transverse - engagement métiers H/F
Safran - Ile de France - Corbeil-Essonnes (91100)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil