Pour consulter le site sans publicités inscrivez-vous

Les données de santé un vrai trafic juteux

Article paru dans le journal nº 82 Acheter ce numéro
  • Voler des données médicales est bien plus rentable que dérober une carte de crédit.Voler des données médicales est bien plus rentable que dérober une carte de crédit.

Près de la moitié des Français voient les objets connectés et l’intelligence artificielle comme des facteurs de progrès médicaux… C’est ce que révélait un sondage effectué en 2019 auprès d’associations de patients. Mais ils sont à peine 11 % à s’inquiéter de leur cybersécurité en matière d’e-santé. Un secteur pourtant très lucratif pour les hackers, capables de pirater aussi bien les hôpitaux que les implants médicaux connectés.

« Les données médicales valent plus cher sur le dark web que les données bancaires », le constat vient de Tanguy de Coatpont, le directeur général France de Kaspersky, l’un des piliers en matière de cybersécurité. Le monde de la santé est devenu, de fait, ces dernières années une cible privilégiée des hackers.

Déjà en 2016, John Halamka à la tête alors du département informatique d’un grand hôpital israélien s’alarmait : « Nous sommes attaqués toutes les 7 secondes, 24 heures sur 24. » Et depuis les menaces ne se sont pas calmées, bien au contraire… Pour preuve, Interpol lançait en avril dernier une alerte officielle sur la recrudescence mondiale des menaces de cybermalfaiteurs contre les hôpitaux et établissements de santé, profitant de la flambée de coronavirus pour les paralyser et les rançonner.

De fait, l’Assistance publique-Hôpitaux de Paris (AP-HP) en a été la victime directe en mars dernier. Quelques mois plus tôt, c’était le CHU de Rouen qui était infecté par un logiciel de rançon (ransomware), via l’envoi d’un virus en pièce jointe. Un type de menace en pleine expansion : « Ce sont des programmes déployés par un attaquant sur un système d’information pour rendre inaccessibles toutes les données. Pour accéder de nouveau aux données, il faut un mot de passe que le hacker fait payer au prix fort », explique Thomas Gayet, directeur du Cert (Centre de veille, d’alerte et de réponse aux incidents informatiques) de la société Digital. security.

Les cyberattaques visent les hôpitaux, mais aussi des laboratoires, des médecins, des patients et potentiellement des implants médicaux connectés.

Des hackers motivés

Le monde informatique classe ces cybercriminels dans deux grandes familles : d’un côté la criminalité plus ou moins sophistiquée, motivée par le gain financier ; de l’autre, des attaquants intéressés par le renseignement pour le compte d’un État ou en vue d’espionnage industriel ou politique.

Concernant l’extorsion, le piratage de données de santé est une vraie manne pour un hacker : « Les données médicales sont très complètes, donc un criminel aura tous les éléments nécessaires à une usurpation d’identité – opérations bancaires, faux papiers, etc. – alors qu’avec un profil bancaire, ce sera plus compliqué », analyse Ivan Kwiatkowski, expert chez Kaspersky en cybersécurité et chercheur au sein du Great (Global Research and Analysis Team). Des données qui se révèlent très lucratives pour les hackers et offrent également une palette de malversations beaucoup plus large que les coordonnées bancaires. « Si un cybercriminel pirate le serveur d’un hôpital ou d’un médecin, et sait que tel patient est allé voir son docteur, il peut lui envoyer un mail frauduleux en mentionnant ce rendez-vous. Déstabilisé, le patient sera alors incité à cliquer sur un lien qui recueillera toutes ses données ; il existe aussi des cas de chantage où le hacker menace une personne de révéler à son entreprise ou sa famille une maladie, par exemple », décrypte Érik Boucher de Crèvecoeur, ingénieur expert à la Cnil (Commission nationale informatique et liberté).

Pour accéder à ces données, les pirates s’attaquent à deux cibles principales : les systèmes informatiques des professionnels de santé (hôpitaux, médecins, laboratoires) et les objets médicaux connectés qui appartiennent à la catégorie des IoT (internet des objets dans le jargon informatique). Ce sont toutes les applications médicales smartphones ainsi que les implants médicaux introduits dans le corps humain et accessibles à distance.

Données médicales, un trafic juteux

Voler des données médicales est bien plus rentable pour les hackers que dérober une carte de crédit, selon Thomas Gayet de Digital. security : « Sur le dark web, un dossier médical est crédité d’une valeur de 50 à 250 dollars, alors qu’un numéro de carte bancaire se monnaie aujourd’hui seulement 1 à 2 dollars ». Le Hollywood Presbyterian Medical Center, en Californie, détient le record de la plus grosse demande de rançon : 3,6 millions de dollars pour débloquer le centre. Après dix jours de paralysie totale, l’hôpital a versé aux pirates 17 000 dollars en bitcoins.

Des serveurs « ouverts »

Les systèmes informatiques sont bien entendu la dernière roue du carrosse de milieux hospitaliers et sanitaires en mal de moyens financiers. Les experts soulignent tous l’obsolescence des systèmes d’exploitation informatiques datant souvent de plus de vingt ans, non actualisés et surtout à peine sécurisés même pour les plus récents : « Quand on monte un système d’information hospitalier, les fabricants livrent des systèmes connectés pour que ce soit plus facile à utiliser et à brancher, ouverts pour permettre l’échange de données. Si on ne fait pas le travail de changer les mots de passe installés par défaut, de cloisonner les différents réseaux avec « des portes coupe-feux », des antivirus ou un système de surveillance, alors le système reste ouvert à tous les vents. Dès qu’un pirate va prendre la main, il pourra potentiellement accéder à l’ensemble des données de l’hôpital et ne sera pas détecté », regrette Érik Boucher de Crèvecœur. Et pourtant, ce sont les vecteurs névralgiques où s’échangent toutes les données médicales et personnelles des patients entre différents acteurs du système de santé : « Dans un hôpital, énormément d’interlocuteurs se connectent aux réseaux. Que ce soit les machines du système d’information, les équipements type imagerie médicale, les équipes médicales, tout est interconnecté et les mises à jour nécessaires sont rarement faites. Ça augmente clairement la « surface d’attaque » pour des hackers qui peuvent en outre entrer sans problème physiquement dans les hôpitaux », analyse Thomas Gayet.

Même vulnérabilité chez les médecins généralistes, l’accès frauduleux aux fiches patients permet de remonter aisément jusqu’au dernier scanner ou examen. Si ces failles de sécurité sont problématiques, elles sont encore plus préoccupantes concernant les implants médicaux connectés.

Des implants piratables

Traitements sur mesure, fiabilité des dosages, mesures à distance, prévention… la liste est longue des bénéfices attribués aux implants médicaux connectés. Aujourd’hui, la médecine propose aux malades différents dispositifs médicaux insérés dans le corps et pilotables à distance grâce à des logiciels de communication sans fil type Wifi ou Bluetooth. Or, cet accès à distance est à la fois leur atout… et leur point faible commun : « C’est un nœud gordien : il faut pouvoir mettre à jour les implants et, de ce fait, permettre leur accès à distance. Mais la nature même de cet accès à distance en fait un risque de sécurité potentiel. Or, si une faille de sécurité est découverte, il faut pouvoir la corriger. C’est assez insoluble », résume Ivan Kwiatkowski.

Certes, ces IoT médicaux sont moins menacés de piratage qu’un smartphone par exemple, mais les conséquences pourraient être bien plus lourdes. Déjà, les hackers peuvent facilement accéder aux données d’identité et de santé véhiculées en permanence entre l’implant et un serveur de stockage qui concentre nombre d’informations. Un trésor attirant pour des cyberpirates !

L’autre possibilité d’intrusion est l’accès direct aux fonctionnalités concrètes de l’implant soit pour des raisons d’espionnage industriel, soit… en vue d’agir directement sur les réglages du dispositif implanté. Concernant l’espionnage, il s’agit pour les hackers de détecter des failles de l’objet et de revendre l’information, par exemple à un fabricant concurrent. Mais l’autre scénario est plus effrayant… et plausible.

Nous évoquions il y a peu sur notre site une étude de chercheurs révélant des failles du système informatique d’implants cardiaques facilitant ainsi leur piratage. Une menace réelle même si elle reste théorique pour le moment : « À ce jour aucune attaque directe sur un implant connecté à une personne n’a été rendue publique », affirme la Cnil. Néanmoins, mieux vaut connaître les risques de dommages d’un éventuel dysfonctionnement malveillant ou non. Voici les principaux implants médicaux connectés utilisés :

  • Les pacemakers ou défibrillateurs cardiaques : ils régulent le rythme du cœur. Des expériences ont démontré qu’on pouvait envoyer une décharge électrique à distance si puissante qu’elle projetterait une personne à 3 mètres. Pour l’anecdote, l’ancien vice-président américain Dick Cheney avait préféré en 2013 désactiver la fonction sans fil de son pacemaker pour empêcher toute manipulation terroriste…
  • Les pompes à insuline : elles permettent d’injecter la bonne dose automatiquement sans intervention du patient. En 2016, le laboratoire américain Johnson & Johnson révélait une faille de sécurité sur ses pompes. Une reprogrammation des dosages s’avérait alors possible avec un risque d’hyper ou d’hypoglycémie pouvant être fatale.
  • Les implants cérébraux pour les malades de Parkinson : ce sont des stimulations électriques intracrâniennes envoyées sur certaines zones du cerveau pour diminuer les tremblements du patient. Si un hacker en prenait le contrôle, il pourrait agir directement sur le cerveau et aggraver les troubles.

« Les risques de piratage existent, d’ailleurs en début d’année, nous avons vu une faille sur Bluetooth qui permet de prendre la main sur de nombreux appareils médicaux. Mais il faut évaluer aussi la balance entre les bénéfices réels pour la santé et les risques. Avant, les implants avaient des prises électriques qui sortaient du corps et qu’on devait brancher avec un risque élevé d’infection », tempère Érik Boucher de Crèvecœur. D’autres objets médicaux sans fil sont déjà sur le marché, tels les piluliers et pansements connectés, ou en développement comme le pancréas bionique, les bracelets pour lutter contre les cellules cancéreuses ou les implants contraceptifs.

Sensibiliser les fabricants

Ce marché des objets médicaux connectés est en croissance forte. Selon la Cnil, beaucoup de projets se font en mode start-up : « Ça va très vite, nombre d’innovations naissent et meurent rapidement ou sont modifiées et rachetées aussi vite. Nous intervenons souvent pour sensibiliser au concept de security by design, penser à la sécurité dès la conception de l’objet connecté médical ou non ? »

Sensibiliser les fabricants à la cybersécurité est une des missions de Digital. security qui teste en laboratoire la fiabilité et la robustesse des IoT. Ce centre de veille observe un changement d’attitude des industriels européens : « Nous voyons depuis trois ans une prise de conscience sur la cybersécurité. Avant, l’essentiel était d’être le premier à mettre sur le marché une solution connectée dans tel ou tel domaine. Le principal frein à l’utilisation des objets connectés étant aujourd’hui la question de la sécurité, les fabricants sont incités à donner des gages. » Une prise de conscience à géographie variable… D’après les experts contactés, les industriels américains ou asiatiques spécialisés en objets de santé connectés sont beaucoup moins vigilants que leurs homologues français et européens.

La société Digital. security vient de lancer le premier label de sécurité des objets connectés (label. IQS) pour essayer de normer un marché peu structuré. Elle coordonne aussi la remontée des vulnérabilités afin que les fabricants puissent corriger les failles au plus vite : « C’est là où le bât blesse parfois, certains objets connectés une fois fabriqués ne peuvent plus être mis à jour. Si une faille est détectée, il faut changer l’objet. Or changer un implant médical connecté serait invasif », reconnaît Thomas Gayet. Certes, la probabilité d’attaque directe contre un implant médical connecté reste minime, mais le piratage des données confidentielles de patients est beaucoup plus répandu. Il est donc essentiel que chacun s’informe des risques et recours possibles.

Et demain ?

Quelles seront les applications de santé connectée du futur ? Un terrain de recherches privilégié pour le laboratoire d’innovation numérique de la Cnil : «  Nous voyons par exemple se développer des interfaces hommes / machines qui puisent des infos dans le cerveau afin de commander une prothèse » explique Érik Boucher de Crèvecoeur «  le cerveau pense à un mouvement que la prothèse exécute, ou à un mot qui s’écrit à l’écran. Imaginez les manipulations possibles s’il y avait piratage… C’est notre mission éthique d’anticiper les dérives possibles ».

S’informer et choisir

Entre les avancées technologiques et leurs inconvénients, difficile de se repérer. Ivan Kwiatkowski de Kaspersky donne ses conseils : « Ne pas se précipiter sur les derniers modèles ; attendre que le fabricant ait le temps de corriger les failles. Et évaluer la nécessité ou pas d’avoir un implant connecté à l’intérieur de soi, un dispositif sur lequel on aura difficilement la main ».

De leur côté, la Cnil et la Haute autorité de santé (HAS) ont édité en 2016 un guide des 101 bonnes pratiques sur la santé connectée, toujours d’actualité. Il recense des questions simples et concrètes à se poser : à quoi sert ce système technologique ? Est-il bien adapté au cas ? Est-il conçu de manière sécurisée ? Sait-on quelles données sont échangées et si elles sont protégées ? Pour Érik Boucher de Crèvecœur, la discussion est essentielle entre le patient, le médecin et le fabricant des objets connectés qui doit être transparent sur ces questions : « Les gens doivent pouvoir s’opposer éventuellement à certains usages, arrêter à tout moment une application ou une géolocalisation. C’est sur cette base qu’on peut établir une certaine confiance. »

Dans une société où les technologies liées à l’intelligence artificielle sont en accélération, où la crise pandémique bouleverse les enjeux, les questionnements éthiques sont cruciaux. Il n’est d’ailleurs pas anodin que le Conseil de l’Europe lance un plan d’action 2020-2025 sur « Les droits de l’homme en biomédecine dans l’après Covid-19 ». Une réflexion saine et nécessaire pour que les sirènes du progrès n’entravent ni notre liberté individuelle, ni notre droit à une santé éthique pour tous.

 

En aucun cas les informations et conseils proposés sur le site Alternative Santé ne sont susceptibles de se substituer à une consultation ou un diagnostic formulé par un médecin ou un professionnel de santé, seuls en mesure d’évaluer adéquatement votre état de santé

Pour consulter le site sans publicités inscrivez-vous