Un groupe de hackers parvient à truquer des scanners médicaux pour placer un cancer là où il n’y en a pas

A l’ère des fausses nouvelles, tout est susceptible d’être faux. Il existe des programmes qui changent la voix en la faisant passer pour une autre, des logiciels qui inventent des visages à partir de rien, des algorithmes qui convertissent votre visage en un autre qui apparaît dans une vidéo. Jusqu’à des virus informatiques capables de montrer un cancer là où il n’y en a pas ou de l’éliminer lorsqu’il existe.

C’est la dernière création qu’une équipe de chercheurs de l’Université Ben Gourion d’Israël a présentée au monde : un malware qui crée des tumeurs (ou les élimine) en tomodensitométrie et en imagerie par résonance magnétique (IRM). Il fonctionne si bien que même les radiologistes avec lesquels il a été testé ne se sont pas rendus compte qu’ils étaient trompés.

Dans un article publié sur arxiv.org, des enquêteurs expliquent :

« Un pirate pourrait commettre cette action pour empêcher un candidat politique de se présenter, saboter une enquête, commettre une fraude à l’assurance, commettre un acte de terrorisme ou même commettre un meurtre ».

Le logiciel malveillant a été testé en deux fois. Le premier test était aveugle, ce qui signifie que les radiologistes qui interprétaient les images de Tomographie Axiale Informatisée et les IRM ne savaient pas qu’ils allaient voir des images altérées. Dans la seconde, ils ont été avertis, mais pas spécifiquement sur les tests qui étaient infectés et ceux qui ne l’étaient pas. Dans les deux cas, les humains ont échoué et ont cru les résultats modifiés qui leur avaient été montrés par la machine.

Vidéo (VO anglais): Injecting and Removing Cancer from CT Scans

La machine nous joue encore des tours

Trois radiologues ayant 2, 5 et 7 ans d’expérience dans leur domaine ont été choisis pour tester le malware. On leur a montré 80 images de Tomographie Axiale Informatisée des poumons sur lesquelles le logiciel avait créé ou enlevé au hasard les nodules tumoraux. Les médecins ont diagnostiqué un cancer dans 99 % des tests où il y avait des tumeurs et n’ont pas diagnostiqué la maladie dans 96 % des images où il n’y avait aucune tumeur.

Dans le deuxième test, les médecins ont reçu 20 nouvelles images et ont été avertis que la moitié de ces images avaient été altérées : ils ont relevé 60% des images avec de faux nodules comme réelles, alors que dans 87% des cas où le logiciel faisait disparaître les tumeurs ils étaient confus.

« J’avais l’impression que le sol s’ouvrait sous mes pieds et que je n’avais pas les outils nécessaires pour avancer », a déclaré au Washington Post Nancy Boniel, une des radiologistes qui a participé à l’étude.

Bien que l’expérience n’ait été réalisée qu’avec des images de Tomographie Axiale Informatisée des poumons, les chercheurs affirment qu’elle sert également dans d’autres tests pour détecter les tumeurs cérébrales, les maladies cardiaques, les caillots sanguins, les lésions médullaires, les fractures osseuses, les blessures ligamentaires et l’arthrite.

Dans les images du haut, le malware a créé un cancer à dessein. Dans les images du bas, il l’a supprimé

30 secondes suffisent

Plusieurs experts s’accordent à dire que c’est un point faible en matière de cyber-sécurité aujourd’hui.

Dans un hôpital, la plupart des équipements sont connectés à Internet. Certains sont également reliés à un réseau central qui est souvent utilisé par les médecins pour échanger les résultats des patients. Parce qu’elles ne sont pas cryptées ou n’ont pas de signature électronique, les enquêteurs pensent que les preuves sont très faciles à pirater.

L’un des hôpitaux israéliens où le test a été effectué a chiffré les résultats, mais à la fin, cela n’a pas eu d’importance parce que le chiffrement était mal configuré. Dans d’autres centres médicaux, les chercheurs n’ont trouvé aucun problème à propager le malware en connectant un Raspberry Pi au réseau de l’hôpital, précédemment averti qu’il allait être piraté. L’installation a pris 30 secondes. Une fois que c’est fait, le virus fonctionne indépendamment et n’a besoin de personne pour le contrôler.

Traduit par Pascal, revu par Martha pour Réseau International