Cyberattaque Boston Scientific : ce que l’on sait pour les pacemakers

Une attaque confirmée, cantonnée selon l’entreprise à des systèmes internes

Boston Scientific a annoncé le 26 août avoir identifié la veille un incident de cybersécurité ayant provoqué une panne réseau et perturbé ses opérations. L’entreprise a déclenché ses procédures de réponse et travaille avec CrowdStrike ainsi qu’avec d’autres experts externes. Il ne s’agit donc pas d’une rumeur ou d’une revendication non vérifiée : la cyberattaque et sa date de détection sont confirmées par la victime.

Dans sa mise à jour du 5 septembre, le fabricant dit n’avoir relevé aucune activité non autorisée liée à l’incident depuis le 25 août. Ses analyses indiquent à ce stade que l’impact a été limité à certaines infrastructures informatiques internes. Les systèmes et applications hébergés dans le cloud n’étaient pas affectés selon les mises à jour précédentes. Ces éléments décrivent l’état de l’enquête de l’entreprise, pas une conclusion indépendante définitive.

Les appareils implantés ne sont pas signalés comme altérés

Le titre alarmant d’une cyberattaque chez un fabricant de pacemakers peut laisser penser qu’un appareil implanté a été pris pour cible. Boston Scientific indique pourtant qu’aucun impact connu ne concerne les appareils qui ne sont pas connectés à son réseau. Pour ses dispositifs de gestion du rythme cardiaque déjà suivis à distance avant la panne, l’entreprise ne signale ni perte de fonctionnement de l’implant, ni interruption connue de la transmission des données, ni difficulté pour les soignants à consulter les informations de suivi à distance.

Elle précise aussi ne disposer d’aucun élément montrant que l’environnement réseau touché aurait accru le risque cyber pour les réseaux hospitaliers utilisant ses dispositifs. Cette communication est importante, mais elle ne dispense pas les établissements de suivre les consignes de leurs interlocuteurs médicaux et techniques habituels.

Le point sensible concerne certaines nouvelles activations de suivi

La nuance se situe du côté de certains nouveaux implants. Boston Scientific explique que les communicateurs de suivi à distance associés à de nouveaux dispositifs cardiaques, hors moniteurs implantables, ne pouvaient pas être activés pendant la perturbation. Tant que cette activation n’est pas réalisée, les données disponibles ne sont pas transmises au système de gestion à distance.

Pour les nouveaux moniteurs cardiaques implantables, l’appairage avec le téléphone du patient était également affecté. L’entreprise indique toutefois que l’appareil continue d’enregistrer les épisodes et qu’un professionnel peut les transmettre lors d’une interrogation en personne avec l’application prévue. Une fois les systèmes restaurés et l’appairage effectué, les données enregistrées pourront être envoyées au système de suivi.

Les expéditions et la production reviennent progressivement

L’incident a aussi touché les applications nécessaires pour fabriquer, traiter et expédier les commandes. Au début de la panne, les commandes électroniques pouvaient être reçues, mais placées en attente de traitement. Le 5 septembre, Boston Scientific a indiqué que son réseau de distribution était substantiellement restauré et que ses grands centres de distribution traitaient et expédiaient des produits à un niveau normal ou supérieur à la normale.

Le groupe ajoute que ses sites de stérilisation fonctionnent et que la production a repris dans la plupart de ses installations. Des retards ou un stock de commandes à résorber peuvent néanmoins subsister. Une amélioration logistique ne signifie pas que tous les systèmes internes sont déjà revenus à la normale.

Pas de fuite de données annoncée

Boston Scientific enquête toujours pour déterminer l’étendue de l’incident. Dans son questions-réponses du 3 septembre, l’entreprise répond qu’elle investigue la possible compromission de données personnelles et qu’elle notifierait les personnes, clients et autorités concernés si elle la constatait. Cette formulation ne confirme pas une fuite : aucune catégorie de données, aucun volume et aucun nombre de personnes concernées n’ont été publiés.

Il serait donc injustifié d’affirmer que des dossiers médicaux, des coordonnées de patients ou des identifiants ont été volés. Pour les clients ou fournisseurs qui reçoivent un message lié à une livraison, la bonne précaution est de passer par le contact habituel ou le portail officiel déjà connu. Une panne réelle peut être utilisée comme prétexte à un faux avis d’expédition.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier comment les auteurs sont entrés, qui ils sont, ni si l’incident relève d’un rançongiciel. Boston Scientific ne l’a pas communiqué publiquement. Nous ne pouvons pas non plus confirmer une fuite de données, son éventuelle nature ou son ampleur.

Enfin, l’entreprise ne donne pas de date pour la restauration complète des fonctions restantes. Les éléments sur les dispositifs cardiaques sont ceux que le fabricant a publiés au 5 septembre et pourront évoluer avec son enquête.

Sources : Boston Scientific ↗ · Boston Scientific ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.