Posté le mars 22, 2019 à 20:54

DES CENTAINES DE MILLIERS D’APPAREILS MEDTRONIC EXPOSÉS AUX PIRATAGES

Les alertes DHS indiquent que jusqu’à 750 000 défibrillateurs Medtronic, parmi d’autres dispositifs, présentent une faille de sécurité dangereuse qu’un attaquant peut utiliser pour causer des dommages.

Le National Cyber Security Divison (NCSD), un service du département de la Sécurité intérieure des États-Unis, chargé de la surveillance de tout équipement vitale aux États-Unis, a publié une alerte indiquant que 750 000 défibrillateurs sont à risque en cas d’attaque sans fil à courte portée. Cela couvre 16 modèles différents de défibrillateurs implantables, en plus des moniteurs de chevet utilisés au domicile des patients et des ordinateurs de programmation des médecins. La vulnérabilité de sécurité n’affecte toutefois pas les porteurs de stimulateur cardiaque.

A quel point la faille de sécurité est-elle dangereuse?

Le NCSD a découvert deux failles, l’une ayant reçu une classification CVSS de 9,3 sur 10. Cela signifie qu’ils le considèrent comme une faille très grave. Cependant, un attaquant doit déjà avoir les connaissances et les outils nécessaire pour lancer une attaque. L’attaquant doit se trouver à moins de 20 pieds du patient, avoir une connaissance détaillée du fonctionnement interne de l’appareil et disposer d’un équipement extrêmement spécialisé pour pouvoir faire une action malfaisante.

Le Dr Robert Kowal, médecin en chef des produits pour le rythme cardiaque et l’insuffisance cardiaque de Medtronic, a déclaré:

« N° 1, ce serait très difficile à exploiter pour causer un préjudice, No. 2, nous ne possédons aucune preuve que quelqu’un ait déjà fait cela. Et 3, nous travaillons en étroite collaboration avec la FDA à mesure que cette problématique cybernétique évolue pour nous assurer que nous ne traitons pas uniquement ce problème, mais que nous travaillons sur de futurs appareils pour optimiser la sécurité par rapport aux fonctionnalités.»

Il a ajouté que les défibrillateurs de Medtronic ont une protection intégrée en cas d’attaque. Ils s’arrêtent automatiquement s’ils reçoivent des commandes inhabituelles. Il a en outre ajouté que rien dans ce problème n’est lié à Internet, mais qu’il s’agit d’un problème strictement local.

Medtronic a déclaré que les avantages de la surveillance à distance l’emportaient sur les risques éventuels de ces  failles de sécurité . Bien que l’option la plus sûre consiste à désactiver les communications sans fil, Medtronic pense que l’option la plus sûre est de ne pas les couper. Les médecins peuvent être avertis plus tôt de tout problème de développement ou mécanique de l’appareil, et il a été démontré qu’il améliore les résultats1] chez les patients qui utilisent l’appareil cardiaque sans fil.

C’est une faille connue

Des chercheurs indépendants de Virtalabs, qui se spécialisent dans la sécurité des dispositifs médicaux, ont confirmé que même si le défaut est grave, il n’est pas nécessaire de remplacer ces dispositifs. Ben Ransford, PDG de Virtalabs, a déclaré qu’il ne serait pas inquiet s’il en possédait un lui-même.

Ransford a toutefois été surpris que de tels problèmes ne cessent de surgir dans les appareils Medtronic. Il faisait partie d’une équipe de recherche qui a prouvé que le Medtronic Maximo pouvait être piraté. C’était en 2008, et il est étrange de voir des vulnérabilités similaires.

Il a déclaré que même si certains des itinéraires spécifiques pour pirater l’appareil étaient légèrement différents, les effets étaient pratiquement identiques. Une faille permet aux attaquants de modifier les paramètres du périphérique lui-même. L’autre faille permet à un attaquant de lire les données de l’appareil, en accédant à l’historique cardiaque du patient.