Measuring Healthcare Data Leaks and Security Flaws at Internet Scale
Cet article présente la première étude à grande échelle des protocoles de santé (DICOM, HL7 et FHIR) sur Internet, révélant d'alarmantes failles de sécurité, notamment des échecs d'authentification généralisés, une absence de chiffrement du transport et des vulnérabilités logicielles critiques affectant des milliers de systèmes, tout en détaillant une campagne de divulgation coordonnée pour remédier à ces risques.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une ville géante et bouillonnante où chaque bâtiment possède une porte d'entrée. La plupart de ces portes sont verrouillées, mais certaines sont laissées grandes ouvertes, invitant quiconque à entrer librement. Dans le monde de la médecine, ces « bâtiments » sont des systèmes informatiques qui détiennent nos secrets les plus privés : nos dossiers médicaux, nos radiographies et nos diagnostics. Pour communiquer entre eux, les hôpitaux utilisent des langages spéciaux, ou « protocoles », comme le DICOM (pour les images médicales), l'HL7 (pour les dossiers patients généraux) et le FHIR (un langage plus récent, basé sur le web). Considérez ces protocoles comme les dialectes spécifiques que les médecins et les machines utilisent pour se chuchoter des secrets. La grande question que les chercheurs se posent est la suivante : combien de ces bâtiments médicaux ont leurs portes laissées déverrouillées, et des inconnus sont-ils en train de s'y promener ?
Ce document est comme une équipe de détectives du numérique qui a décidé de parcourir les rues d'internet, frappant à chaque porte qui pourrait appartenir à un hôpital. Ils n'ont pas seulement examiné les vieilles portes célèbres (DICOM) ; ils ont également vérifié les plus récentes et plus rutilantes (HL7 et FHIR) que beaucoup considéraient comme sûres. Ils ont mis en place un faux bâtiment « piège » (un honeypot) pour voir qui tentait de s'introduire, puis ils ont lancé une vaste campagne de ratissage sur l'ensemble d'internet, vérifiant à la fois les anciennes adresses IPv4 et les nouvelles et immenses adresses IPv6. Ce qu'ils ont découvert est un peu effrayant : un grand nombre de systèmes médicaux sont exposés, souvent sans aucun verrou (authentification) ou même sans toit (chiffrement), laissant des millions de dossiers de patients exposés à quiconque possède une connexion internet.
Le travail de détective : Ce qu'ils ont fait
Les chercheurs ont commencé par construire un « honeypot », qui est comme une fausse maison vide laissée sur internet avec un panneau indiquant « Hôpital ». Ils ont attendu neuf mois pour voir qui frapperait à la porte. Ils ont découvert que, si beaucoup de gens frappaient à la porte du vieux langage DICOM, presque personne ne vérifiait les portes pour HL7 ou FHIR. C'était surprenant car tout le monde utilise ces langages, mais cela suggérait que les pirates (et les chercheurs) les avaient ignorés.
Pour obtenir une image complète, l'équipe a lancé un scan massif à travers tout l'internet, recherant ces trois langages médicaux sur les anciens et les nouveaux systèmes d'adressage internet. Ils n'ont pas seulement cherché les portes ; ils ont essayé de les ouvrir. Ils ont envoyé des messages spéciaux pour voir si les systèmes les laisseraient entrer sans mot de passe, et ils ont vérifié si les systèmes utilisaient le « TLS », qui est comme un tunnel secret qui garde les données à l'abri des regards indiscrets pendant qu'elles voyagent. Ils ont également vérifié le logiciel fonctionnant à l'intérieur de ces systèmes pour voir s'il présentait des failles ou des bugs connus que des pirates pourraient utiliser pour prendre le contrôle du bâtiment.
Les découvertes choquantes
Les résultats ont été un signal d'alarme. L'équipe a trouvé 2 841 services de santé présentant de graves failles de sécurité. Voici la répartition de ce qu'ils ont découvert :
- Les portes ouvertes : Ils ont trouvé 1 780 systèmes DICOM laissant fuiter des données en raison de l'absence d'authentification. Pour l'HL7, ils ont trouvé 903 systèmes sans authentification, mais comme la plupart des systèmes HL7 sont conçus pour pousser des données plutôt que pour en récupérer, seuls 30 cas ont été confirmés comme traitant réellement des requêtes de données pouvant mener à une fuite. De plus, 242 points de terminaison FHIR ont été identifiés comme laissant fuiter des données de patients. Au total, 2 841 points de terminaison étaient accessibles sans authentification appropriée.
- Les tunnels manquants : Un chiffre stupéfiant de 94,4 % de tous les systèmes exposés qu'ils ont trouvés n'utilisaient pas de chiffrement de transport. Cela signifie que si quelqu'un interceptait les données, il pourrait les lire aussi facilement que l'on lit une carte postale.
- Les fenêtres brisées : Ils ont trouvé 1 373 systèmes exécutant des logiciels présentant des vulnérabilités connues et dangereuses. Certaines de ces failles étaient si graves (avec un « score CVSS » allant jusqu'à 9,8, ce qui est proche du niveau de danger maximal) qu'un pirate pourrait potentiellement prendre le contrôle total du système.
- Le nombre de patients : Spécifiquement pour les nouveaux systèmes FHIR, ils ont identifié 242 points de terminaison laissant fuiter des données, exposant potentiellement les dossiers de 2 124 518 patients. Bien qu'une partie de cela puisse être des données de test, le nombre est alarmant.
Le « Piège » et la réalité
Les chercheurs ont également mené une expérience de « honeypot » pour voir quel genre de problèmes se produisait dans la nature. Ils ont découvert que le faux serveur DICOM était scanné entre 4 et 22 fois chaque jour par des bots automatisés cherchant des points faibles. Cependant, leurs faux serveurs HL7 et FHIR ont été complètement ignorés. Cela suggère que, bien que les pirates traquent activement les anciens systèmes d'imagerie médicale, ils n'ont pas encore commencé une chasse massive pour les nouveaux systèmes de dossiers — bien que les chercheurs préviennent que cela ne signifie pas que les nouveaux systèmes sont sûrs, mais simplement qu'ils n'ont pas encore été ciblés encore.
Qu'est-il arrivé après ?
L'équipe ne s'est pas contentée de publier la liste des portes cassées ; elle a tenté de les réparer. Ils ont contacté les propriétaires de ces systèmes vulnérables via un processus appelé « divulgation responsable », envoyant des e-mails aux responsables. Ils ont demandé si les systèmes étaient censés être sur internet et s'ils étaient au courant des risques.
La réponse a été mitigée. Seules 26 personnes ont répondu à leur questionnaire, et bien que la plupart aient admis que les systèmes étaient là intentionnellement, seules 4 ont déclaré avoir corrigé les problèmes. Lorsque les chercheurs ont scanné l'internet à nouveau quatre semaines plus tard, le nombre de systèmes vulnérables avait à peine changé. En fait, pour les systèmes FHIR, le nombre d'hôtes exposés n'avait baissé que de 15,08 %, et pour le DICOM, le changement n'était que de -1,64 %. Cela suggère que corriger ces problèmes est incroyablement difficile, peut-être parce que les systèmes sont gérés par des personnes qui ne réalisent pas qu'ils sont exposés, ou parce que la technologie est trop complexe pour être sécurisée facilement.
La vue d'ensemble
L'article conclut que l'état de la cybersécurité dans le secteur de la santé est « alarmant ». Il ne s'agit pas seulement de fuites de données ; il s'agit du fait que les systèmes sont si peu sécurisés qu'un pirate pourrait potentiellement modifier le dosage d'un médicament ou supprimer un diagnostic, ce qui pourrait être mortel. Les chercheurs suggèrent que le problème principal est que ces systèmes médicaux n'ont jamais été conçus pour être sur internet, et pourtant ils y sont, souvent sans aucun verrou. Ils soutiennent que les hôpitaux doivent cesser de connecter ces systèmes sensibles au web public et commencer à utiliser de meilleurs outils de sécurité, mais la lenteur de la réponse à leurs avertissements montre que c'est un défi majeur qui n'a pas encore été résolu.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.