Les données de santé un vrai trafic juteux

« Les données médicales valent plus cher sur le dark web que les données bancaires », le constat vient de Tanguy de Coatpont, le directeur général France de Kaspersky, l’un des piliers en matière de cybersécurité. Le monde de la santé est devenu, de fait, ces dernières années une cible privilégiée des hackers.

Déjà en 2016, John Halamka à la tête alors du département informatique d’un grand hôpital israélien s’alarmait : « Nous sommes attaqués toutes les 7 secondes, 24 heures sur 24. » Et depuis les menaces ne se sont pas calmées, bien au contraire… Pour preuve, Interpol lançait en avril dernier une alerte officielle sur la recrudescence mondiale des menaces de cybermalfaiteurs contre les hôpitaux et établissements de santé, profitant de la flambée de coronavirus pour les paralyser et les rançonner.

De fait, l’Assistance publique-Hôpitaux de Paris (AP-HP) en a été la victime directe en mars dernier. Quelques mois plus tôt, c’était le CHU de Rouen qui était infecté par un logiciel de rançon (ransomware), via l’envoi d’un virus en pièce jointe. Un type de menace en pleine expansion : « Ce sont des programmes déployés par un attaquant sur un système d’information pour rendre inaccessibles toutes les données. Pour accéder de nouveau aux données, il faut un mot de passe que le hacker fait payer au prix fort », explique Thomas Gayet, directeur du Cert (Centre de veille, d’alerte et de réponse aux incidents informatiques) de la société Digital. security.

Les cyberattaques visent les hôpitaux, mais aussi des laboratoires, des médecins, des patients et potentiellement des implants médicaux connectés.

Des hackers motivés

Concernant l’extorsion, le piratage de données de santé est une vraie manne pour un hacker : « Les données médicales sont très complètes, donc un criminel aura tous les éléments nécessaires à une usurpation d’identité – opérations bancaires, faux papiers, etc. – alors qu’avec un profil bancaire, ce sera plus compliqué », analyse Ivan Kwiatkowski, expert chez Kaspersky en cybersécurité et chercheur au sein du Great (Global Research and Analysis Team). Des données qui se révèlent très lucratives pour les hackers et offrent également une palette de malversations beaucoup plus large que les coordonnées bancaires. « Si un cybercriminel pirate le serveur d’un hôpital ou d’un médecin, et sait que tel patient est allé voir son docteur, il peut lui envoyer un mail frauduleux en mentionnant ce rendez-vous. Déstabilisé, le patient sera alors incité à cliquer sur un lien qui recueillera toutes ses données ; il existe aussi des cas de chantage où le hacker menace une personne de révéler à son entreprise ou sa famille une maladie, par exemple », décrypte Érik Boucher de Crèvecoeur, ingénieur expert à la Cnil (Commission nationale informatique et liberté).

Pour accéder à ces données, les pirates s’attaquent à deux cibles principales : les systèmes informatiques des professionnels de santé (hôpitaux, médecins, laboratoires) et les objets médicaux connectés qui appartiennent à la catégorie des IoT (internet des objets dans le jargon informatique). Ce sont toutes les applications médicales smartphones ainsi que les implants médicaux introduits dans le corps humain et accessibles à distance.

Données médicales, un trafic juteux

Voler des données médicales est bien plus rentable pour les hackers que dérober une carte de crédit, selon Thomas Gayet de Digital. security : « Sur le dark web, un dossier médical est crédité d’une valeur de 50 à 250 dollars, alors qu’un numéro de carte bancaire se monnaie aujourd’hui seulement 1 à 2 dollars ». Le Hollywood Presbyterian Medical Center, en Californie, détient le record de la plus grosse demande de rançon : 3,6 millions de dollars pour débloquer le centre. Après dix jours de paralysie totale, l’hôpital a versé aux pirates 17 000 dollars en bitcoins.

Des serveurs « ouverts »

Même vulnérabilité chez les médecins généralistes, l’accès frauduleux aux fiches patients permet de remonter aisément jusqu’au dernier scanner ou examen. Si ces failles de sécurité sont problématiques, elles sont encore plus préoccupantes concernant les implants médicaux connectés.

Des implants piratables

Certes, ces IoT médicaux sont moins menacés de piratage qu’un smartphone par exemple, mais les conséquences pourraient être bien plus lourdes. Déjà, les hackers peuvent facilement accéder aux données d’identité et de santé véhiculées en permanence entre l’implant et un serveur de stockage qui concentre nombre d’informations. Un trésor attirant pour des cyberpirates !

L’autre possibilité d’intrusion est l’accès direct aux fonctionnalités concrètes de l’implant soit pour des raisons d’espionnage industriel, soit… en vue d’agir directement sur les réglages du dispositif implanté. Concernant l’espionnage, il s’agit pour les hackers de détecter des failles de l’objet et de revendre l’information, par exemple à un fabricant concurrent. Mais l’autre scénario est plus effrayant… et plausible.

Nous évoquions il y a peu sur notre site une étude de chercheurs révélant des failles du système informatique d’implants cardiaques facilitant ainsi leur piratage. Une menace réelle même si elle reste théorique pour le moment : « À ce jour aucune attaque directe sur un implant connecté à une personne n’a été rendue publique », affirme la Cnil. Néanmoins, mieux vaut connaître les risques de dommages d’un éventuel dysfonctionnement malveillant ou non. Voici les principaux implants médicaux connectés utilisés :

« Les risques de piratage existent, d’ailleurs en début d’année, nous avons vu une faille sur Bluetooth qui permet de prendre la main sur de nombreux appareils médicaux. Mais il faut évaluer aussi la balance entre les bénéfices réels pour la santé et les risques. Avant, les implants avaient des prises électriques qui sortaient du corps et qu’on devait brancher avec un risque élevé d’infection », tempère Érik Boucher de Crèvecœur. D’autres objets médicaux sans fil sont déjà sur le marché, tels les piluliers et pansements connectés, ou en développement comme le pancréas bionique, les bracelets pour lutter contre les cellules cancéreuses ou les implants contraceptifs.

Sensibiliser les fabricants

Sensibiliser les fabricants à la cybersécurité est une des missions de Digital. security qui teste en laboratoire la fiabilité et la robustesse des IoT. Ce centre de veille observe un changement d’attitude des industriels européens : « Nous voyons depuis trois ans une prise de conscience sur la cybersécurité. Avant, l’essentiel était d’être le premier à mettre sur le marché une solution connectée dans tel ou tel domaine. Le principal frein à l’utilisation des objets connectés étant aujourd’hui la question de la sécurité, les fabricants sont incités à donner des gages. » Une prise de conscience à géographie variable… D’après les experts contactés, les industriels américains ou asiatiques spécialisés en objets de santé connectés sont beaucoup moins vigilants que leurs homologues français et européens.

La société Digital. security vient de lancer le premier label de sécurité des objets connectés (label. IQS) pour essayer de normer un marché peu structuré. Elle coordonne aussi la remontée des vulnérabilités afin que les fabricants puissent corriger les failles au plus vite : « C’est là où le bât blesse parfois, certains objets connectés une fois fabriqués ne peuvent plus être mis à jour. Si une faille est détectée, il faut changer l’objet. Or changer un implant médical connecté serait invasif », reconnaît Thomas Gayet. Certes, la probabilité d’attaque directe contre un implant médical connecté reste minime, mais le piratage des données confidentielles de patients est beaucoup plus répandu. Il est donc essentiel que chacun s’informe des risques et recours possibles.

Et demain ?

Quelles seront les applications de santé connectée du futur ? Un terrain de recherches privilégié pour le laboratoire d’innovation numérique de la Cnil : «  Nous voyons par exemple se développer des interfaces hommes / machines qui puisent des infos dans le cerveau afin de commander une prothèse » explique Érik Boucher de Crèvecoeur «  le cerveau pense à un mouvement que la prothèse exécute, ou à un mot qui s’écrit à l’écran. Imaginez les manipulations possibles s’il y avait piratage… C’est notre mission éthique d’anticiper les dérives possibles ».

S’informer et choisir

De leur côté, la Cnil et la Haute autorité de santé (HAS) ont édité en 2016 un guide des 101 bonnes pratiques sur la santé connectée, toujours d’actualité. Il recense des questions simples et concrètes à se poser : à quoi sert ce système technologique ? Est-il bien adapté au cas ? Est-il conçu de manière sécurisée ? Sait-on quelles données sont échangées et si elles sont protégées ? Pour Érik Boucher de Crèvecœur, la discussion est essentielle entre le patient, le médecin et le fabricant des objets connectés qui doit être transparent sur ces questions : « Les gens doivent pouvoir s’opposer éventuellement à certains usages, arrêter à tout moment une application ou une géolocalisation. C’est sur cette base qu’on peut établir une certaine confiance. »

Dans une société où les technologies liées à l’intelligence artificielle sont en accélération, où la crise pandémique bouleverse les enjeux, les questionnements éthiques sont cruciaux. Il n’est d’ailleurs pas anodin que le Conseil de l’Europe lance un plan d’action 2020-2025 sur « Les droits de l’homme en biomédecine dans l’après Covid-19 ». Une réflexion saine et nécessaire pour que les sirènes du progrès n’entravent ni notre liberté individuelle, ni notre droit à une santé éthique pour tous.