Blog Cyberjustice – Le piratage des objets de santé connectés : mythe ou réalité ?
À l’heure où la médecine devient de plus en plus numérique, les objets de santé connectés — montres intelligentes, tensiomètres connectés, glucomètres ou encore implants électroniques — occupent une place croissante dans le quotidien des patients. Cependant, ces dispositifs qui collectent, stockent et parfois transmettent des données médicales en temps réel font émerger de nouvelles préoccupations. Parmi elles, une question revient régulièrement dans le débat public : ces objets peuvent-ils réellement être piratés ?
Des dispositifs vulnérables par nature
Les objets connectés de santé sont, comme tous les objets de l’Internet des objets, des dispositifs numériques communiquant via des réseaux sans fil (bluetooth,Wi-Fi…). Leur fonctionnement repose sur des capteurs, des logiciels embarqués, des applications mobiles et des serveurs distants pour recevoir, transmettre et stocker des données. Cette complexité les rend particulièrement exposés aux attaques informatiques dès lors que cette hyperconnectivité multiplie les points d’entrée de vulnérabilités.
Les failles peuvent provenir de plusieurs sources : absence de chiffrement, mots de passe par défaut non modifiés ou encore mises à jour logicielles inexistantes. Souvent, le piratage est rendu possible par l’inattention des fabricants, qui ne prennent pas la peine de protéger ces dispositifs médicaux numériques (allant de la simple montre connectée au pacemaker). Finalement, les risques liés aux cyberattaques résultent de la convergence de plusieurs facteurs : des mauvaises pratiques, des manques de moyens et des méthodes d’industriels parfois peu scrupuleux.
Des conséquences potentiellement graves
Les enjeux de cybersécurité dans le domaine de la santé ne se limitent pas à la confidentialité des données de santé. Si la fuite de données médicales est déjà préoccupante en soi, avec des risques de chantage, de discrimination ou d’atteinte à la vie privée, le piratage d’un objet connecté peut aussi avoir un impact direct sur la santé, voire la vie d’un individu. En effet, une attaque visant à modifier le fonctionnement d’un stimulateur cardiaque ou d’une pompe à insuline pourrait mettre en danger la vie d’un patient.
Par exemple, en 2017, l’Agence américaine des produits alimentaires et médicamenteux avait mis en garde contre certaines pompes à insuline. Celles-ci permettaient une modification à distance des doses administrées, ce qui les rendait vulnérables à des piratages. En 2018, une étude de la société américaine McAfee démontrait également qu’il était possible de détourner les données d’un appareil IRM pour fausser les diagnostics médicaux.
Ces exemples montrent que le piratage d’objets de santé connectés ne relève pas de la science-fiction. Il s’agit d’un risque documenté, bien que rarement exploité à grande échelle. Si ces scénarios restent aujourd’hui marginaux, ils illustrent l’ampleur des risques potentiels, à la croisée du numérique et du secteur médical.
Un encadrement juridique en construction
Sur le plan juridique, la protection des objets de santé connectés repose sur plusieurs piliers. D’abord, le RGPD impose des obligations strictes en matière de sécurité et de confidentialité des données de santé, considérées comme des “données sensibles”.
Ensuite, le Règlement (UE) 2017/745 relatif aux dispositifs médicaux impose que ces derniers fassent l’objet d’une évaluation de la conformité, incluant la sécurité informatique. En 2023, une révision du règlement a été introduite. Depuis mai 2024, seuls deux types de dispositifs médicaux pourront être mis sur le marché : ceux pour lesquels les fabricants ont déposé une demande de certification européenne auprès d’un organisme notifié, ou ceux étant déjà conformes au règlement de 2017 . Des normes techniques, comme la norme ISO/IEC 81001-5-1 viennent également compléter ce cadre pour définir des exigences de cybersécurité spécifiques aux dispositifs de santé.
Toutefois, l’hétérogénéité des fabricants, la rapidité de l’innovation technologique et l’absence d’un contrôle systématique des logiciels embarqués posent encore des défis de régulation.
Vers une prise de conscience collective
Face à ces enjeux, les professionnels de santé, les industriels, les autorités de régulation et les usagers doivent adopter une approche commune et proactive. Cela passe par une sensibilisation des utilisateurs (changer les mots de passe, installer les mises à jour), une transparence accrue des fabricants sur les mesures de sécurité mises en place, ainsi que par un renforcement de la réglementation.
L’Agence européenne des médicaments, l’ANSM (Agence nationale de sécurité du médicament et des produits de santé en France), ou encore l’ENISA (Agence européenne pour la cybersécurité) encouragent déjà les bonnes pratiques en matière de cybersécurité médicale. Mais la prise de conscience doit être plus large pour accompagner l’essor de ces technologies en toute confiance.
En conclusion, le piratage des objets de santé connectés n’est ni un mythe exagéré, ni une réalité omniprésente. C’est un risque plausible, dont l’occurrence reste encore limitée, mais qui appelle à la vigilance. Dans un monde de plus en plus interconnecté, la sécurité des dispositifs médicaux ne peut plus être reléguée au second plan. Elle doit devenir une priorité de santé publique, au même titre que l’hygiène hospitalière ou la pharmacovigilance. Car à travers la cybersécurité, c’est aussi la confiance dans la médecine numérique qui est en jeu.
Clara Castillon
Master 2 Cyberjustice 2024/2025
Sources :
Santé et objets connectés : le risque de piratage, fantasme ou réalité ?
Objets connectés : les risques à connaître | Ministère de l’Économie des Finances et de la Objets de santé connectés : vous n’êtes pas à l’abri des cyberattaques !
Auteur :
Aller à la source
