Alerte de sécurité sur les analyseurs génétiques Thermo Fisher Applied Biosystems : comprendre les failles de données ADN

Comprendre les vulnérabilités des analyseurs génétiques

Les analyseurs génétiques de la marque Applied Biosystems, conçus par le fabricant Thermo Fisher Scientific, constituent la référence mondiale pour le séquençage d'ADN par la méthode de Sanger et pour l'analyse de fragments par électrophorèse capillaire. Ces instruments de haute précision sont déployés à l'échelle internationale au sein des centres hospitaliers, des laboratoires de recherche, des instituts de médecine légale et des structures d'analyses médicales privées.

L'agence américaine de cybersécurité CISA a publié un bulletin d'alerte critique référencé sous l'identifiant ICSMA-23-110-01. Ce document officiel met en lumière plusieurs vulnérabilités majeures affectant le logiciel de pilotage et de collecte de données de ces équipements scientifiques de pointe.

Ces failles de sécurité touchent directement l'intégrité et la confidentialité des données générées par ces automates. En l'absence de correctifs ou de mesures de contournement adaptées, un utilisateur malveillant peut compromettre la chaîne de confiance des analyses génétiques.

Analyse technique des failles : CVE-2023-1416, CVE-2023-1415 et CVE-2023-1414

La vulnérabilité principale est enregistrée sous la référence CVE-2023-1416. Elle concerne l'absence de mécanisme de vérification d'intégrité des données transmises ou stockées, une faiblesse de type CWE-353. Les données brutes issues de l'analyse des capillaires sont stockées sous des formats propriétaires, notamment les fichiers à extension .fsa pour l'analyse de fragments et les fichiers .hid pour l'identification humaine.

Puisque le système ne génère aucun condensat cryptographique pour sceller le fichier à sa création, un attaquant peut modifier le contenu de ces fichiers. Cette altération peut s'effectuer directement sur le disque dur de la station de travail ou lors du transfert des données sur le réseau local du laboratoire.

Une deuxième faille majeure, référencée CVE-2023-1415, concerne l'utilisation d'identifiants codés en dur (CWE-798) au sein du logiciel d'administration. Cette faiblesse permet à un individu malveillant d'accéder aux fonctions de configuration de l'appareil ou de modifier des paramètres critiques sans posséder de compte utilisateur légitime.

Enfin, la faille CVE-2023-1414 met en évidence la transmission en clair d'informations sensibles (CWE-319) sur le réseau local. Un attaquant équipé d'un simple analyseur de paquets réseau peut intercepter les identifiants de connexion et les données de séquençage en transit, compromettant ainsi le secret médical et la confidentialité des recherches.

Quels sont les équipements et versions logicielles concernés ?

Pour aider les responsables de laboratoire à identifier la vulnérabilité de leurs installations, il convient de lister précisément les systèmes impactés par l'avis de sécurité de la CISA. Les équipements concernés sont principalement des séquenceurs de paillasse et des analyseurs à haut débit largement répandus.

Voici la liste des équipements et logiciels directement touchés par ces vulnérabilités :

• Applied Biosystems 3500 Series Genetic Analyzer (modèles 3500 et 3500xL) utilisant le logiciel de collecte de données (Data Collection Software) en version 4.0.1 et antérieures.
• Applied Biosystems SeqStudio Genetic Analyzer utilisant le logiciel de l'instrument (SeqStudio Instrument Software) en version 1.2.4 et antérieures.

Le tableau ci-dessous résume la sévérité et les caractéristiques de ces vulnérabilités critiques identifiées sur les plateformes de séquençage :

La liste des versions logicielles affectées montre que la vulnérabilité touche des générations d'équipements Thermo Fisher encore très actives aujourd'hui. Qu'il s'agisse d'un séquenceur de paillasse compact comme le SeqStudio ou d'un système à plus grand débit comme la série 3500, la vigilance est de mise.

Quels sont les risques réels pour les laboratoires et la santé publique ?

Le secteur de la santé et des sciences de la vie fait partie des infrastructures critiques ciblées de manière récurrente par les cybercriminels. Dans un laboratoire d'analyses médicales, l'intégrité des données est tout aussi cruciale que leur confidentialité. Une modification imperceptible d'un fichier de résultats peut entraîner des conséquences dramatiques pour les patients.

Dans le cadre de l'oncologie ou du dépistage de maladies génétiques rares, les décisions thérapeutiques reposent directement sur la détection de mutations spécifiques. Si un attaquant modifie le fichier de séquençage pour masquer une mutation ou pour en simuler une fausse, le médecin orientera le traitement sur une mauvaise voie, mettant en danger la vie du patient.

Pour les services de médecine légale, l'analyse des marqueurs génétiques permet d'identifier des suspects ou d'établir des liens de parenté. Une altération malveillante des fichiers .hid pourrait disculper un coupable ou accuser un innocent en modifiant subtilement les profils d'électrophorèse capillaire avant leur importation dans les bases de données nationales.

La manipulation des données ADN peut également servir à perturber des enquêtes de paternité ou des procédures d'identification de corps lors de catastrophes de masse. La confiance du public et du système judiciaire dans les preuves scientifiques repose entièrement sur l'inviolabilité de la chaîne de traitement des données, depuis le prélèvement biologique jusqu'au rapport d'expertise final.

Au-delà de la falsification ciblée, les laboratoires s'exposent à des attaques par rançongiciel. Les cybercriminels s'introduisent souvent par des postes de travail connectés aux instruments scientifiques, car ces ordinateurs sont fréquemment configurés avec des privilèges administrateur élevés et des systèmes d'exploitation obsolètes pour assurer la compatibilité logicielle avec l'automate.

Une fois le contrôle de la station de travail obtenu, l'attaquant peut paralyser l'ensemble de l'activité du laboratoire, chiffrer les bases de données patients et exiger une rançon substantielle sous peine de divulguer des données de santé hautement confidentielles sur le darknet.

Au regard du Règlement Général sur la Protection des Données (RGPD), la perte d'intégrité ou la fuite de données de santé expose le laboratoire à de lourdes sanctions de la part de la CNIL. Les dirigeants de TPE et PME du secteur médical ont l'obligation légale de mettre en œuvre des mesures de sécurité techniques et organisationnelles proportionnées aux risques encourus par les personnes concernées.

Guide pratique de sécurisation et d'hygiène informatique

Face à cette menace, les responsables techniques et les dirigeants de structures médicales ou de recherche doivent déployer une stratégie de défense en profondeur. La première action indispensable consiste à isoler physiquement ou logiquement le réseau d'instrumentation du reste du réseau informatique de l'entreprise.

Il est fortement recommandé de configurer un réseau local virtuel (VLAN) dédié exclusivement aux automates d'analyse et à leurs stations de pilotage. Ce VLAN doit être hermétique, sans accès direct à Internet, et les flux de communication avec le réseau administratif doivent être strictement contrôlés par un pare-feu physique.

Les stations de travail connectées aux séquenceurs n'ont généralement pas besoin d'accéder au web pour fonctionner. En coupant tout accès à Internet pour ces machines, vous éliminez la majorité des vecteurs d'attaque, tels que le téléchargement de logiciels malveillants ou les connexions de commande et de contrôle établies par des pirates à distance.

Pour mettre en œuvre la segmentation réseau de manière efficace, il convient d'adopter une architecture de confiance zéro. Dans ce modèle, aucun équipement, qu'il soit interne ou externe au laboratoire, n'est considéré comme sûr par défaut. Chaque tentative d'accès aux données de séquençage doit être authentifiée, autorisée et chiffrée.

Si l'automate doit impérativement transmettre ses résultats vers un système d'information de laboratoire centralisé, cette transmission doit s'effectuer via des protocoles sécurisés et chiffrés avec une authentification par certificat numérique. Évitez absolument l'utilisation de partages de fichiers Windows non sécurisés qui sont particulièrement vulnérables aux attaques par interception.

Le durcissement des systèmes d'exploitation consiste à limiter au strict minimum les fonctionnalités actives sur les ordinateurs de pilotage. Désactivez tous les services Windows inutiles, désinstallez les logiciels tiers non indispensables et bloquez l'exécution de scripts PowerShell ou d'invites de commande pour les utilisateurs non administrateurs.

Il est également crucial de restreindre l'usage des supports amovibles. Les clés USB et disques durs externes non chiffrés sont des vecteurs fréquents de propagation de virus informatiques. Configurez des stratégies de groupe pour interdire la lecture et l'écriture sur les ports USB de ces stations de travail, sauf pour des périphériques spécifiquement autorisés et préalablement analysés.

Pour vous prémunir contre la perte ou l'altération accidentelle ou malveillante de vos fichiers .fsa et .hid, mettez en place une politique de sauvegarde rigoureuse. Les sauvegardes doivent être automatisées mais surtout externalisées sur des supports déconnectés du réseau.

Une sauvegarde stockée sur un serveur de fichiers partagé ou sur un NAS constamment connecté au réseau peut être chiffrée ou supprimée par un rançongiciel en même temps que le système principal. Utilisez des solutions de sauvegarde physique amovible ou des stockages cloud sécurisés disposant de fonctionnalités d'immuabilité des données.

Pour les structures situées en Lot-et-Garonne, la mise en œuvre de ces règles d'hygiène informatique peut s'avérer complexe sans ressources internes dédiées. Faire appel à un service de dépannage informatique à Agen permet de réaliser un audit de configuration et de sécuriser les postes de travail obsolètes.

Les étapes clés pour auditer la sécurité de votre réseau de laboratoire

La sécurisation d'un environnement d'analyse biologique ne s'improvise pas. Elle nécessite une méthodologie rigoureuse pour identifier les faiblesses structurelles avant qu'elles ne soient exploitées par un tiers malveillant.

Voici les étapes essentielles pour mener à bien un audit de sécurité informatique au sein de votre structure :

1. Inventaire exhaustif des équipements connectés : Identifiez chaque automate, station de pilotage, serveur de stockage et périphérique réseau présent dans le laboratoire, en précisant leurs versions logicielles et de système d'exploitation.
2. Cartographie des flux réseau entrants et sortants : Analysez les communications de chaque machine pour détecter d'éventuels accès non autorisés vers Internet ou des partages de fichiers non sécurisés au sein du réseau local.
3. Analyse des droits d'accès et des privilèges utilisateurs : Vérifiez que seuls les personnels autorisés disposent de comptes d'accès sur les stations de pilotage, et supprimez systématiquement les privilèges administrateur non indispensables.
4. Évaluation de la politique de sauvegarde : Assurez-vous que les fichiers de résultats font l'objet de sauvegardes régulières, externalisées et protégées contre les rançongiciels, puis réalisez des tests de restauration périodiques.
5. Planification des correctifs constructeurs : Prenez contact avec le support technique de Thermo Fisher pour planifier le déploiement des mises à jour logicielles officielles ou appliquer les mesures compensatoires recommandées par la CISA.

L'informatique de laboratoire (OT) face au défi de l'obsolescence

L'informatique de laboratoire, souvent qualifiée de technologie opérationnelle (OT), obéit à des contraintes très différentes de l'informatique de bureau classique. Les automates d'analyse ont une durée de vie matérielle de dix à quinze ans, tandis que les cycles de vie des systèmes d'exploitation Windows dépassent rarement les cinq à sept ans.

Ce décalage temporel conduit inévitablement à la présence d'ordinateurs sous Windows 7 ou Windows XP au cœur des laboratoires, connectés à des machines de séquençage de grande valeur. Ces systèmes d'exploitation ne recevant plus de mises à jour de sécurité de la part de Microsoft, ils deviennent des cibles faciles pour les pirates.

De plus, les éditeurs de logiciels scientifiques imposent souvent des versions très précises de systèmes d'exploitation et de pilotes pour garantir le bon fonctionnement de l'automate. Mettre à jour Windows sans l'accord explicite du fabricant peut rendre l'analyseur inutilisable, bloquant ainsi l'activité du laboratoire pendant plusieurs jours.

Il est donc crucial de ne jamais considérer un automate de biologie médicale comme un simple périphérique informatique. Chaque équipement doit faire l'objet d'une analyse de risques approfondie et d'une surveillance continue de ses flux réseau pour détecter tout comportement anormal ou toute modification suspecte de fichiers.

Pour les petites et moyennes structures de santé ou de recherche basées à Agen, Le Passage, Boé ou Villeneuve-sur-Lot, la gestion de cette complexité technologique nécessite un accompagnement spécialisé. Un prestataire informatique local peut intervenir pour concevoir une architecture réseau sécurisée et adaptée à vos contraintes métiers.

Le rôle de ce partenaire n'est pas d'intervenir sur les paramètres scientifiques de l'automate, mais de sécuriser l'environnement numérique qui l'entoure. Cela comprend l'installation de pare-feux, la configuration de réseaux privés virtuels sécurisés pour la télémaintenance des constructeurs, et la mise en place de sondes de détection d'intrusions.

Pour approfondir vos connaissances sur les meilleures pratiques de sécurisation des infrastructures numériques de votre entreprise, vous pouvez consulter notre blog informatique ou explorer notre page dédiée à notre expertise technique.

Questions fréquentes

Sources

• Avis de sécurité CISA (ICSMA-23-110-01)
• Analyseurs génétiques de la série 3730 - Thermo Fisher Scientific