Cybersécurité des objets connectés médicaux : quand la sécurité des patients dépend de la mise à jour d'un capteur
Les dispositifs médicaux connectés sont souvent perçus comme des équipements de pointe, conçus avec les dernières avancées technologiques et donc, par extension, sécurisés. L'intuition voudrait que les objets chargés de surveiller un rythme cardiaque ou de délivrer une dose d'insuline soient les plus protégés du marché. La réalité des dernières années a montré l'inverse : ces appareils ont régulièrement constitué un point d'entrée privilégié pour des attaques informatiques, non pas en raison d'une sophistication technique, mais à cause de leur grande vulnérabilité structurelle.
Contrairement aux ordinateurs ou aux smartphones, dont le cycle de vie est court, un dispositif médical est conçu pour durer. Une pompe à perfusion ou un moniteur de signes vitaux peut rester en service dans un hôpital pendant une décennie. Or, la technologie embarquée à sa conception est souvent obsolète dès sa cinquième année d'utilisation. Cette longévité, gage de rentabilité pour les établissements de santé, devient une faille de sécurité majeure lorsque les fabricants cessent de fournir des mises à jour logicielles pour des systèmes d'exploitation qui ne sont plus pris en charge.
Des équipements vulnérables par conception
L'architecture des réseaux hospitaliers a longtemps été pensée autour de la notion d'îlot. Les équipements médicaux étaient connectés entre eux sur des réseaux locaux dédiés, physiquement isolés d'Internet. Cette segmentation offrait une protection de facto. L'évolution vers la télémédecine et le dossier patient informatisé a brisé cet isolement. Pour transmettre les données de surveillance à distance ou pour synchroniser les historiques de traitement, les dispositifs ont été raccordés aux réseaux informatiques généraux des hôpitaux, eux-mêmes reliés à Internet.
Cette ouverture a exposé des équipements dont la conception initiale n'avait pas intégré la menace numérique. De nombreux dispositifs fonctionnent encore avec des protocoles de communication anciens, dépourvus de chiffrement. Les données circulent en clair sur le réseau interne, accessibles à toute personne qui parvient à s'y connecter. Plus préoccupant encore, certains appareils utilisent des identifiants de connexion par défaut, imprimés dans les manuels d'utilisation, que les équipes techniques ne modifient pas systématiquement lors de l'installation.
La difficulté de mise à jour constitue un autre facteur de vulnérabilité. Un correctif de sécurité ne peut pas être installé sans validation clinique préalable. Chaque modification logicielle d'un dispositif médical doit être testée pour vérifier qu'elle n'altère pas son fonctionnement. Cette procédure, indispensable pour la sécurité des patients, ralentit considérablement le déploiement des correctifs. Un délai de plusieurs mois entre la découverte d'une faille et son patch effectif sur le terrain est courant, laissant une fenêtre d'exploitation large pour les attaquants. À consulter également : www.prospection-pro.fr.
Des conséquences qui dépassent le vol de données
Les motivations des attaquants ont également évolué. Le vol de données de santé, revendables sur des marchés illicites, reste une menace. Mais les dernières années ont vu émerger une autre forme d'attaque, plus directe et plus dangereuse : le rançongiciel ciblant spécifiquement les dispositifs médicaux. Plutôt que de chiffrer des fichiers sur des serveurs, certaines attaques ont visé à bloquer le fonctionnement d'équipements critiques, comme des scanners ou des systèmes de gestion de médicaments, pour forcer l'établissement à payer une rançon.
L'objectif n'est alors plus l'exfiltration de données, mais la perturbation du service. Un hôpital dont le système de prescription électronique est bloqué ne peut plus délivrer de traitements de manière sécurisée. Les équipes médicales sont contraintes de revenir à des procédures papier, avec un risque accru d'erreur. La frontière entre la cyberattaque et l'atteinte directe à la santé des patients devient ténue. Les équipements connectés, initialement conçus pour améliorer la prise en charge, deviennent un vecteur de paralysie.
La question de la responsabilité se pose alors avec acuité. Un fabricant dont le dispositif présente une faille connue mais non corrigée peut voir sa responsabilité engagée. Les établissements de santé, de leur côté, doivent arbitrer entre la continuité des soins et la mise en conformité de leur parc informatique. Déconnecter un équipement vulnérable pour le protéger peut priver des patients d'une surveillance indispensable. Le maintenir en service expose à un risque. Cette équation, sans solution simple, explique en partie la lenteur des déploiements de correctifs.
Des pistes d'évolution vers une conception plus robuste
Face à ce constat, les pratiques commencent à évoluer, sous l'impulsion des autorités de régulation. Les exigences de sécurité sont désormais intégrées plus en amont dans le processus de conception des dispositifs. La tendance est à l'intégration de la sécurité dès la phase de développement, plutôt que de la considérer comme une couche additionnelle. Les fabricants sont incités à prévoir des mécanismes de mise à jour sécurisée dès la conception, avec des signatures logicielles et des processus d'authentification.
La segmentation des réseaux fait son retour, sous une forme plus sophistiquée. Les dispositifs médicaux sont de plus en plus souvent isolés dans des sous-réseaux dédiés, avec des passerelles de contrôle qui filtrent les flux. Cette approche permet de limiter la surface d'attaque : même si un appareil est compromis, l'attaquant ne peut pas se déplacer latéralement vers d'autres systèmes de l'hôpital. Les politiques de gestion des identifiants se durcissent également, avec l'obligation de changer les mots de passe par défaut avant toute mise en service.
La prise de conscience des équipes soignantes constitue un autre levier. La cybersécurité n'est plus perçue comme une préoccupation exclusivement technique, réservée aux informaticiens. Des formations spécifiques sont déployées pour sensibiliser le personnel médical aux risques liés aux objets connectés : brancher une clé USB inconnue sur un poste de travail relié à un équipement médical, ou cliquer sur un lien suspect dans un courriel, peut compromettre l'ensemble d'un service. La dimension humaine reste le maillon le plus difficile à sécuriser, mais aussi celui sur lequel une action de prévention peut avoir un effet rapide.
Les prochaines années diront si ces évolutions suffisent à réduire l'écart entre la durée de vie des équipements et la durée de validité de leurs protections logicielles. La question ne se limite pas à la technique : elle engage la responsabilité des fabricants, des établissements et des praticiens, tous confrontés à un même défi, celui de maintenir la sécurité des patients dans un environnement numérique dont les failles ne cessent de se révéler.
