Cela fait plus d’une semaine que Boston Scientific avance à vue.

Depuis la détection d’un incident de cybersécurité, le 25 août, le groupe américain fait face à une panne majeure de son réseau, qui perturbe l’ensemble de ses opérations informatiques.

Dès le lendemain, l’accès à certains systèmes d’exploitation et applications métier a été interrompu, affectant directement sa capacité à fabriquer, traiter et expédier les commandes de ses clients.

Depuis, la situation reste largement inchangée. L’entreprise affirme n’avoir constaté aucune activité non autorisée sur son réseau depuis le 25 août. Elle indique également pouvoir continuer à enregistrer les commandes reçues par voie électronique, celles-ci étant placées en attente d’un traitement ultérieur. Mais Boston Scientific n’a toujours communiqué aucun calendrier de rétablissement complet.

Dans une mise à jour publiée le 30 août, Boston Scientific a toutefois détaillé les répercussions de l’incident sur ses dispositifs médicaux, notamment certains systèmes utilisés pour programmer ou suivre des pacemakers.

Logo de Boston Scientific

Ce qui change pour les patients

Le point nouveau concerne la télésurveillance des dispositifs cardiaques posés depuis le début de l’incident. Pour les nouveaux appareils de gestion du rythme, comme les pacemakers, Boston Scientific ne peut plus activer le communicateur destiné au suivi à distance. Les données recueillies par l’implant ne remontent donc pas automatiquement vers les systèmes utilisés par les équipes médicales.

Les nouveaux moniteurs cardiaques implantables (ICM) sont touchés par un problème voisin, mais distinct. Ces petits dispositifs, qui enregistrent l’activité électrique du cœur sans délivrer de traitement, ne parviennent plus à être associés à l’application mobile du patient. Là encore, la transmission automatisée des données est bloquée.

Le groupe assure toutefois que l’incident ne compromet pas le fonctionnement thérapeutique des pacemakers et autres dispositifs de gestion du rythme. Les ICM continuent, de leur côté, à enregistrer les éventuels épisodes cardiaques. Pour les nouveaux patients, ces informations doivent néanmoins être récupérées manuellement, lors d’une consultation.

Les patients dont le suivi à distance avait été configuré avant le 25 août ne seraient pas concernés et continueraient d’être surveillés normalement.

Toujours aucune revendication

À ce stade, aucune revendication crédible n’a été rendue publique. Boston Scientific n’a identifié ni le groupe à l’origine de l’intrusion, ni le mode d’accès initial, ni la nature exacte de l’attaque. L’entreprise n’a pas non plus indiqué si des données avaient été exfiltrées ou si elle avait reçu une demande de rançon.

Le scénario d’un rançongiciel ne peut donc pas être écarté, au regard de l’ampleur de la paralysie des systèmes et de la durée de l’interruption.