Objets connectés · Sécurité des dispositifs
Un stimulateur cardiaque communique par radiofréquence. Une pompe à insuline reçoit des ordres d’une télécommande. Tout ce qui communique peut, en théorie, être détourné. Les autorités sanitaires ont cessé de traiter cette théorie comme une curiosité de chercheur.
Le rappel de 2017, cas d’école
Des chercheurs en sécurité avaient identifié des vulnérabilités dans la communication radiofréquence de certains stimulateurs cardiaques : un attaquant à proximité aurait théoriquement pu épuiser la batterie ou modifier la programmation de stimulation. La FDA a validé une mise à jour du firmware, à appliquer lors d’une consultation, chaque patient devant se rendre chez son cardiologue.
Deux éléments méritent d’être soulignés. Premier point : aucune attaque réelle n’a été rapportée. Le rappel était préventif. Second point : la mise à jour elle-même comportait un risque, faible mais non nul, de dysfonctionnement du dispositif pendant l’opération. La décision consistait donc à arbitrer entre un risque hypothétique d’attaque et un risque documenté de complication de mise à jour. C’est la nature même des décisions de sécurité sanitaire, et elle est inconfortable.
Pourquoi ces dispositifs sont vulnérables
Trois raisons structurelles, aucune n’étant le fruit d’une négligence isolée.
La contrainte énergétique. Un implant fonctionne sur une pile qui doit durer des années. La cryptographie forte consomme. Les concepteurs ont longtemps arbitré en faveur de l’autonomie, ce qui était rationnel dans un monde où l’implant n’était accessible qu’au contact.
Le cycle de vie. Un stimulateur reste en place dix ans. Une pompe fonctionne des années. Les logiciels embarqués reposent souvent sur des composants tiers — piles réseau, systèmes temps réel — dont les vulnérabilités sont découvertes après la commercialisation. C’est le cas d’URGENT/11 : onze failles dans une pile réseau utilisée par un système d’exploitation temps réel largement diffusé, découvertes des années après l’intégration.
La priorité clinique. Un dispositif de survie doit fonctionner même si l’authentification échoue. Un pacemaker qui refuserait une reprogrammation d’urgence parce que la clé cryptographique est expirée serait un danger. La sécurité informatique et la sécurité du patient tirent parfois en sens contraire, et c’est la seconde qui gagne, à raison.
| Année | Événement | Portée |
|---|---|---|
| 2017 | Mise à jour firmware, stimulateurs St. Jude / Abbott | ~465 000 dispositifs |
| 2019 | Rappel de pompes à insuline Medtronic MiniMed | Modèles à communication sans fil |
| 2019 | Divulgation d’URGENT/11 | Pile réseau d’un OS temps réel très répandu |
| Depuis | Exigences cyber, FD&C Act § 524B | Tout « cyber device » soumis à la FDA |
Ce que la loi exige désormais
Le dispositif américain, issu du PATCH Act intégré à la législation budgétaire, a créé la notion de cyber device à la section 524B du Federal Food, Drug, and Cosmetic Act. Un fabricant déposant un dossier pour un tel dispositif doit fournir un plan de surveillance et de remédiation des vulnérabilités après commercialisation, des procédures de mise à jour de sécurité — y compris pour les correctifs critiques hors cycle — et une nomenclature logicielle, ou SBOM, listant tous les composants commerciaux, open source et libres utilisés.
La SBOM est probablement la disposition la plus structurante. Sans elle, il est impossible de répondre à la question la plus élémentaire lors d’une divulgation de faille : quels de mes dispositifs contiennent ce composant ? Les hôpitaux qui ont vécu URGENT/11 se souviennent d’avoir passé des semaines à interroger leurs fournisseurs pour obtenir cette réponse.
En Europe, le règlement dispositifs médicaux exige déjà que les logiciels soient développés conformément à l’état de l’art incluant la sécurité de l’information, et le règlement sur la cyberrésilience vient compléter l’édifice pour les produits comportant des éléments numériques.
Le message aux patients
Il doit être dit sans détour, parce que la couverture médiatique de ces sujets a produit de l’anxiété disproportionnée. Aucun patient n’a été identifié comme victime d’une attaque sur son implant cardiaque ou sa pompe. Les vulnérabilités démontrées exigeaient une proximité physique, un matériel spécialisé et une expertise considérable, pour un bénéfice nul pour l’attaquant.
Le risque de ne pas porter un stimulateur indiqué est infiniment supérieur au risque cyber. La conduite raisonnable est de suivre les recommandations du fabricant relayées par le cardiologue ou le diabétologue, d’appliquer les mises à jour proposées lors des consultations de contrôle, et de signaler tout comportement anormal du dispositif.
La vigilance appartient aux fabricants, aux hôpitaux et aux régulateurs. Pas au patient.
Questions fréquentes
Mon pacemaker peut-il être piraté à distance ?
Les vulnérabilités démontrées exigeaient une proximité physique de quelques mètres et un équipement dédié. Aucune attaque réelle sur un patient n’a été rapportée.
Dois-je demander une mise à jour ?
Suivez les recommandations de votre cardiologue. Les mises à jour de sécurité sont appliquées en consultation, jamais à distance sans supervision.
Qu’est-ce qu’une SBOM ?
Une nomenclature logicielle : la liste des composants logiciels intégrés dans un produit, indispensable pour identifier rapidement les dispositifs affectés par une faille.
Les hôpitaux sont-ils plus exposés que les implants ?
Oui, très largement. Les rançongiciels frappant les systèmes d’information hospitaliers ont causé des perturbations de soins documentées, contrairement aux attaques sur implants.
Un implant sans communication serait-il plus sûr ?
Contre le risque cyber, oui. Mais on perdrait la télésurveillance, qui a démontré des bénéfices cliniques réels. L’arbitrage n’est pas trivial.
• U.S. Food and Drug Administration, communications de sécurité 2017 (stimulateurs) et 2019 (pompes à insuline MiniMed).
• Federal Food, Drug, and Cosmetic Act, section 524B relative aux cyber devices.
• À lire aussi : nos décryptages des objets connectés & wearables.
À lire aussi : L’ECG de la montre connectée : détecter la fibrillation.
Information générale sur la santé numérique, à but éducatif. Ne constitue pas un avis médical. N’interrompez jamais le fonctionnement d’un dispositif implanté sans avis médical.