Pacemakers : des failles exploitables à distance permettent d'empêcher la transmission de décharges électriques au cœur
La vie des patients en danger

Le , par Patrick Ruiz, Chroniqueur Actualités
Le mis en cause est Medtronic – une entreprise active dans le secteur des technologies médicales. En prenant le contrôle de ses stimulateurs cardiaques, des pirates peuvent empêcher la transmission de décharges électriques au cœur ; il est également possible d’en transmettre qui ne sont pas requises. Dans un cas comme dans l’autre, la mort guette les patients.

Il y a près de deux ans que Billy Rios et Jonathan Butts – respectivement membres des firmes de cybersécurité WhiteScope et QED Secure Solutions – ont décelé des failles de sécurité dans les stimulateurs cardiaques de Medtronic. La firme en a reçu notification en janvier 2017. Depuis, il s’est établi une espèce de dialogue de sourds entre les chercheurs et l’entreprise, cette dernière n’ayant pratiquement pris aucune mesure pour prendre les alertes en compte.

« Si Medtronic avait travaillé sur des solutions au lieu de débattre avec nous, ils auraient pu régler plusieurs de ces problèmes. Après deux ans, il y a encore des patients exposés à ce risque d'altération du traitement puisque nous pouvons créer des chocs électriques ou les empêcher de se produire à notre guise. C'est très frustrant », a déclaré Jonathan Butts.

Lors de la récente conférence Black Hat (du 4 au 9 août dernier), le duo a fait la démonstration de stratagèmes d’attaque qui marchent sur le programmeur CareLink 2090 - un dispositif médical utilisé par les médecins pour contrôler les stimulateurs cardiaques une fois qu'ils sont implantés dans un corps – et exploitent deux brèches dans l’infrastructure que l’entreprise a mise sur pied. Primo, les mises à jour pour les programmeurs sont envoyées par le biais de connexions non sécurisées ; deuxio, le programmeur n’est pas muni d’une fonctionnalité de vérification de signature de code. La combinaison de ces deux facteurs permet d'installer facilement des logiciels malveillants sur les programmeurs pour les forcer à modifier le comportement des stimulateurs cardiaques.


« En ajoutant la signature de code, tous les problèmes disparaissent, mais pour une raison qu’on ne comprend pas, ils refusent de le faire », a souligné Billy Rios. Pourtant, l’un des concurrents de Medtronic (qui livre des stimulateurs cardiaques munis du même système d’exploitation que le CareLink 2090 – Windows XP) utilise déjà cette mesure de sécurité.

Chez Medtronic, les pompes à insuline sont également concernées par les développements des chercheurs. En s’appuyant sur une radio logicielle à 200 $, ils ont démontré qu’il est possible de les forcer à retenir des doses indispensables aux patients.

Jusqu’ici, Medtronic minimise les publications des chercheurs et maintient que ses systèmes sont suffisamment robustes pour réduire les risques d’une attaque. L’entreprise ajoute qu’elle a musclé ses serveurs pour en améliorer la sécurité. Elle recommande à ses clients de s’en tenir aux mesures de sécurité qui apparaissent dans le manuel d’instructions du CareLink 2090. En sus, elle instruit de placer le programmeur dans un environnement sécurisé pour prévenir l’accès physique à ce dernier.

Source : Wired

Et vous ?

Quelles sont d’après vous les pires erreurs enregistrées dans le cadre de la conception des dispositifs connectés ?

Qu’est-ce qui explique que des entreprises continuent de perpétuer les mauvaises pratiques de sécurité ?

Voir aussi :

Des failles détectées dans les pacemakers de St Jude Medical pourraient être exploitées pour tuer des patients, un correctif est disponible

La police s'appuie sur les données d'un pacemaker pour arrêter un homme pour fraude à l'assurance et incendie criminel

Les stimulateurs cardiaques sont vulnérables à des cyberattaques, d'après les firmes de sécurité WhiteScope et Ponemon Institute


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de kirby_blue kirby_blue - Nouveau membre du Club https://www.developpez.com
le 12/08/2018 à 20:36
Dommage qu'ils ne précisent pas quel est ce fameux concurrent
Avatar de AdmChiMay AdmChiMay - Membre éclairé https://www.developpez.com
le 12/08/2018 à 22:02
Je connais quelqu'un qui a un pacemaker depuis trèèèès longtemps.
Ce qui m'inquiète, c'est que ce genre d'annonce a déjà été faite il y a plus de 10 ans.
Personne ne s'en est inquiété (à part répondre au buzz du moment), ou bien on a mis l'annonce aux oubliettes ?
C'est comme tout ce qui est contrôle de la maison : des annonces/scandales ont été dénoncés, qu'en est-il des correctifs ? et pour les véhicules ?
Si on se fiche un peut trop de ce qui concerne la santé, qu'en est-il des "objets connectés" au final ?
Avatar de curt curt - Membre chevronné https://www.developpez.com
le 14/08/2018 à 10:10
Il me semble que ce sont les stations médicales dont on parle et non les stimulateurs cardiaques.
Quant à amalgamer objets connectés de la maison et stimulateur cardiaque….

Curt
Avatar de Fleur en plastique Fleur en plastique - Nouveau Candidat au Club https://www.developpez.com
le 15/08/2018 à 14:47
Demain, on verra fleurir un nouveau type e-mail menaçant : "payez 300 bitcoins ou j'arrête votre peacemaker à distance".
Avatar de Escapetiger Escapetiger - Expert confirmé https://www.developpez.com
le 20/08/2018 à 12:50
Citation Envoyé par Fleur en plastique Voir le message
Demain, on verra fleurir un nouveau type e-mail menaçant : "payez 300 bitcoins ou j'arrête votre peacemaker à distance".
Faites l'amour, pas la guerre
Contacter le responsable de la rubrique Accueil