J&J signale un risque de piratage d'une pompe à insuline

par Jim Finkle

(Reuters) - Johnson & Johnson a fait savoir à des patients qu'il avait été informé d'un risque de piratage informatique de l'une de ses pompes à insuline, jugeant toutefois que ce risque était faible.

Une pompe à insuline est composée d'un petit boîtier fonctionnant sur piles et d'un cathéter, ou dispositif de perfusion, sous-cutané.

Les experts du matériel médical pensent que c'est la première fois qu'un fabricant émet un tel avertissement à propos d'un risque qui devient prégnant dans cette industrie à la suite des révélations du mois dernier sur d'éventuelles failles de stimulateurs cardiaques et de défibrillateurs.

Des responsables du groupe pharmaceutique américain ont dit à Reuters qu'il n'avait pas connaissance de tentatives de piratage contre la pompe appelée J&J Animas One Touch Ping. Néanmoins? J&J a préféré informer la clientèle et la conseiller sur les moyens de régler le problème.

"La probabilité d'une intrusion dans le système One Touch Ping est très faible", explique J&J dans des courriers transmis lundi à des médecins et à près de 114.000 usagers aux Etats-Unis et au Canada. Reuters a pris connaissance de ce courrier.

Un mois auparavant, une société de recherche en cybersécurité réputée affirmait qu'il existait des failles potentiellement dangereuses pour la vie des usagers des matériels cardiaques fabriqués par l'équipementire St. Jude Medical.

St. Jude, dont l'action avait chuté à la suite de ces déclarations, a déclaré que tout était faux et la Food and Drug Administration (FDA), l'autorité sanitaire des Etats-Unis, a ouvert une enquête.

La FDA se prépare à publier des directives relatives à la communication par les équipementiers médicaux de l'existence de failles de sécurité et J&J a précisé qu'il avait examiné la question avec celle-ci avant d'expédier son courrier.

Un premier jet rendu public en janvier recommandait aux fabricants d'appareils de s'associer à des experts de la sécurité, d'identifier les étapes à suivre pour atténuer les risques et d'informer les patients de façon à ce qu'ils puissent prendre des décisions en toute conscience pour ce qui est d'utiliser ou pas des matériels.

"SÛR ET FIABLE"

J&J dit avoir travaillé avec un expert de la société de cybersécurité Rapid7 qui l'a informé en avril des failles de cette pompe à insuline. Equipée d'une télécommande à distance, elle permet au patient de ne pas manipuler la pompe elle-même, ce qui peut présenter quelques désagréments car celle-ci est habituellement portée sous les vêtements.

L'expert Jay Radcliffe, diabétique lui-même, explique qu'un hacker pourrait intercepter les communications entre le dispositif à distance et la pompe elle-même et la reprogrammer pour infuser de l'insuline mal à propos. Une dose trop forte d'insuline peut provoquer une hypoglycémie, susceptible, dans des cas extrêmes, de mettre la vie du patient en danger, observe Brian Levy, directeur médical du pôle diabète de J&J.

La vulnérabilité du dispositif s'explique par le fait que ces communications ne sont pas cryptées, ou brouillées, souligne Jay Radcliffe.

Des techniciens de J&J ont pu vérifier, tests à l'appui, ces conclusions, confirmant ainsi qu'un hacker pouvait prendre le contrôle de la pompe dans un rayon de sept à huit mètres, ajoute Brian Levy, précisant qu'un attaque de ce genre était difficile à monter car elle nécessitait beaucoup de savoir-faire et du matériel de pointe.

"Nous pensons que le système One Touch Ping est sûr et fiable; nous recommandons aux patients de le conserver", a tranché Brian Levy.

Dans son courrier, J&J donne quelques conseils pour limiter les risques, par exemple renoncer à la télécommande à distance et programmer la pompe manuellement. "Cela peut apaiser un patient ou les parents d'un enfant qui utilise ce matériel", estime Jay Radcliffe.

La FDA dit n'avoir pas connaissance de cas où un pirate informatique aurait exploité les failles de sécurité d'un équipement pour porter atteinte à la vie d'un patient.

(Wilfrid Exbrayat pour le service français, édité par Véronique Tison)