Pacemakers : des failles exploitables à distance permettent d'empêcher la transmission de décharges électriques au cœur

La vie des patients en danger

Pacemakers : des failles exploitables à distance permettent d’empêcher la transmission de décharges électriques au cœur
La vie des patients en danger

Le mis en cause est Medtronic – une entreprise active dans le secteur des technologies médicales. En prenant le contrôle de ses stimulateurs cardiaques, des pirates peuvent empêcher la transmission de décharges électriques au cœur ; il est également possible d’en transmettre qui ne sont pas requises. Dans un cas comme dans l’autre, la mort guette les patients.

Il y a près de deux ans que Billy Rios et Jonathan Butts – respectivement membres des firmes de cybersécurité WhiteScope et QED Secure Solutions – ont décelé des failles de sécurité dans les stimulateurs cardiaques de Medtronic. La firme en a reçu notification en janvier 2017. Depuis, il s’est établi une espèce de dialogue de sourds entre les chercheurs et l’entreprise, cette dernière n’ayant pratiquement pris aucune mesure pour prendre les alertes en compte.

« Si Medtronic avait travaillé sur des solutions au lieu de débattre avec nous, ils auraient pu régler plusieurs de ces problèmes. Après deux ans, il y a encore des patients exposés à ce risque d'altération du traitement puisque nous pouvons créer des chocs électriques ou les empêcher de se produire à notre guise. C'est très frustrant », a déclaré Jonathan Butts.

Lors de la récente conférence Black Hat (du 4 au 9 août dernier), le duo a fait la démonstration de stratagèmes d’attaque qui marchent sur le programmeur CareLink 2090 - un dispositif médical utilisé par les médecins pour contrôler les stimulateurs cardiaques une fois qu'ils sont implantés dans un corps – et exploitent deux brèches dans l’infrastructure que l’entreprise a mise sur pied. Primo, les mises à jour pour les programmeurs sont envoyées par le biais de connexions non sécurisées ; deuxio, le programmeur n’est pas muni d’une fonctionnalité de vérification de signature de code. La combinaison de ces deux facteurs permet d'installer facilement des logiciels malveillants sur les programmeurs pour les forcer à modifier le comportement des stimulateurs cardiaques.


« En ajoutant la signature de code, tous les problèmes disparaissent, mais pour une raison qu’on ne comprend pas, ils refusent de le faire », a souligné Billy Rios. Pourtant, l’un des concurrents de Medtronic (qui livre des stimulateurs cardiaques munis du même système d’exploitation que le CareLink 2090 – Windows XP) utilise déjà cette mesure de sécurité.

Chez Medtronic, les pompes à insuline sont également concernées par les développements des chercheurs. En s’appuyant sur une radio logicielle à 200 $, ils ont démontré qu’il est possible de les forcer à retenir des doses indispensables aux patients.

Jusqu’ici, Medtronic minimise les publications des chercheurs et maintient que ses systèmes sont suffisamment robustes pour réduire les risques d’une attaque. L’entreprise ajoute qu’elle a musclé ses serveurs pour en améliorer la sécurité. Elle recommande à ses clients de s’en tenir aux mesures de sécurité qui apparaissent dans le manuel d’instructions du CareLink 2090. En sus, elle instruit de placer le programmeur dans un environnement sécurisé pour prévenir l’accès physique à ce dernier.

Source : Wired

Et vous ?

Quelles sont d’après vous les pires erreurs enregistrées dans le cadre de la conception des dispositifs connectés ?

Qu’est-ce qui explique que des entreprises continuent de perpétuer les mauvaises pratiques de sécurité ?

Voir aussi :

Des failles détectées dans les pacemakers de St Jude Medical pourraient être exploitées pour tuer des patients, un correctif est disponible

La police s'appuie sur les données d'un pacemaker pour arrêter un homme pour fraude à l'assurance et incendie criminel

Les stimulateurs cardiaques sont vulnérables à des cyberattaques, d'après les firmes de sécurité WhiteScope et Ponemon Institute