Les données cérébrales, de plus en plus accessibles grâce à la démocratisation des appareils d’électroencéphalographie (EEG), sont devenues une cible potentielle pour les pirates informatiques. Des chercheurs en sécurité mettent en garde contre des vulnérabilités qui pourraient permettre de voler, modifier, voire de manipuler ces informations sensibles.
Alejandro Hernández, consultant principal chez IOActive, alerte sur le fait que la possibilité de compromettre les ondes cérébrales enregistrées par les appareils EEG n’est plus de la science-fiction. « Nous avons constaté que les données EEG peuvent être interceptées, modifiées et même supprimées », explique-t-il. Il souligne que, bien que le secteur de la santé ait pris quelques mesures pour renforcer la protection de ces données, les progrès en matière de sécurité ne suivent pas le rythme des avancées technologiques.
L’EEG, initialement confiné aux laboratoires et aux hôpitaux, se répand désormais dans des dispositifs grand public tels que des écouteurs et d’autres outils expérimentaux. Cette technologie est utilisée en clinique pour diagnostiquer des troubles neurologiques comme l’épilepsie et la narcolepsie. Cependant, les chercheurs envisagent également des applications plus ambitieuses, allant de l’évaluation des capacités mentales à la création d’interfaces cerveau-cerveau permettant la transmission de pensées, en passant par le contrôle de drones par la pensée.
Hernández a mené une enquête d’un an sur les failles de sécurité des appareils EEG, en utilisant un modèle grand public à 80 $ US (environ 75 €). Il a découvert que les données EEG devraient être traitées comme des informations confidentielles et donc cryptées. Il a notamment identifié des vulnérabilités dans des applications comme ENOBIO EEG, Persyst Advanced Review, Visionneuse Natus Stellate Harmonie, NeuroServeur, BrainBay et SigViewer.
« Certaines applications transmettent des ondes cérébrales brutes via le protocole TCP/IP sans chiffrement, les rendant vulnérables aux attaques de type ‘homme du milieu’ où un intrus peut intercepter et modifier les données », précise Hernández. Il ajoute que l’absence d’authentification des composants (acquisition, middleware, points de terminaison) permettrait à un attaquant de se connecter à un port TCP distant et de voler des données EEG.
Hernández a démontré concrètement ces vulnérabilités en réalisant une attaque de type « homme du milieu » sur ses propres signaux cérébraux, en utilisant le paquet open source EEG NeuroServer. Il met en parallèle cette situation avec celle des réseaux SCADA il y a quelques années, où la sécurité n’était pas une priorité avant que des incidents majeurs ne surviennent.
Les risques ne se limitent pas au vol de données. Hernández évoque la possibilité d’interférer avec les données EEG, ce qui pourrait avoir des conséquences graves dans des applications telles que le contrôle de drones ou l’authentification biométrique. Il soulève également la question de l’exploitation de ces données par des annonceurs ou des collecteurs de renseignements.
Il précise que les appareils EEG de qualité hospitalière, plus coûteux et complexes, sont moins vulnérables, mais que les failles découvertes dans les appareils grand public et probablement dans certains équipements hospitaliers sont suffisamment préoccupantes pour justifier une action immédiate. Hernández insiste sur la nécessité d’appliquer les bonnes pratiques en matière de sécurité, notamment la conception sécurisée et la programmation sécurisée.
« C’est un grand oui : les meilleures pratiques doivent être suivies d’un point de vue technologique, de conception sécurisée et de programmation sécurisée », conclut-il.
À lire aussi
