8000 vulnérabilités : tel est le nombre de failles de sécurité identifiées par Whitescope dans les bibliothèques tierces utilisées pour alimenter les composants de 4 pacemakers connectés, commercialisés par 4 grandes entreprises du dispositif médical. Pour les auteurs de l’étude, ces résultats reflètent « un problème qui touche toute l’industrie des pacemakers ».
Les systèmes de pacemakers fonctionnent sur une architecture similaire incluant le périphérique médical implanté, un dispositif de surveillance à domicile, et une infrastructure basée sur le cloud qui transmet des données à un médecin et à un programmeur de stimulateurs cardiaques.
L’analyse des écosystèmes a permis aux auteurs de constater de nombreuses failles de sécurité :
- présence, dans l’ensemble des programmeurs, de logiciels non mis à jour, avec des vulnérabilités connues ;
- stockage non sécurisé des données patients, parfois non cryptées, sur les programmeurs.
A cela s’ajoutent des problèmes de conception de base :
- absence d’authentification mutuelle entre le programme et le stimulateur cardiaque implanté du même fournisseur ;
- absence de nécessité d’authentification des médecins pour accéder au programmeur.
Les auteurs indiquent avoir signalé l’ensemble de ces failles de sécurité à la FDA.