Protection des données de santé : menaces et solutions en matière de cybersécurité
La cybercriminalité représente une menace importante pour le secteur public et les entités particulièrement sensibles aux interruptions de service, notamment dans le secteur de la santé. Les établissements de santé sont une cible privilégiée des cyberattaques en raison de leur taille, de leur dépendance aux ressources informatiques et aux prestataires, de l’important volume d’informations de santé protégées et d’informations à caractère personnel qu’ils détiennent. Un rapport du département américain de la santé et des services sociaux (le « HHS ») publié en 2023 note une augmentation de 93 % des violations de données d’ampleur dans ce secteur et une augmentation de 278 % des attaques par ransomware entre 2018 et 2022.
Établissements de santé, violations de données et ransomwares
Données financières, personnelles, médicales… les établissements de santé sont une source inestimable de données à jour et exploitables pour les cybercriminels qui se livrent à des activités frauduleuses par ingénierie sociale et vol de données. Autre objet de convoitise, les dossiers médicaux électroniques où sont stockés les antécédents, les diagnostics et les traitements des patients, désormais très courants dans le cadre de la collaboration entre médecins et laboratoires et impliqués dans des fuites de données.
LockBit est le groupe cybercriminel le plus prolifique du monde en matière de ransomware en tant que service (RaaS). Apparu en 2019, ses méfaits se chiffrent en milliards d’euros à l’échelle mondiale. Il est à l’origine de pannes de réseau et d’interruptions de service dans plusieurs hôpitaux en France et aux États-Unis. En février 2024, au terme d’une opération judiciaire menée conjointement par 10 pays et baptisée « Opération Cronos », son infrastructure technique et son site public de fuite ont été démantelés sur le dark web.
Mais quelques jours auparavant, le groupe menait une attaque par ransomware sur l’hôpital d’Armentières, dans les Hauts-de-France.
L’hôpital d’Armentières victime d’une attaque par ransomware
Le 11 février 2024, à l’aube, les imprimantes de l’hôpital d’Armentières se mettent en route et déversent les messages de revendication d’une cyberattaque par ransomware. Dans l’heure suivant la découverte de l’attaque, le service informatique de l’hôpital confirme que l’ensemble des ordinateurs du centre ont été déconnectés du réseau et que la police a été alertée.
Ce jour-là, 130 patients étaient pris en charge par l’établissement. Le personnel, très réactif, a pu imprimer le dossier de chacun d’eux afin d’assurer le suivi des soins. Fermé pendant 48 heures, l’hôpital n’a pas été en mesure d’accueillir de nouveaux patients dans ses services. Les urgences, hors maternité, ont été fermées et les ambulances orientées vers les autres hôpitaux de la région. Bilan de cette cyberattaque : plus de 300 000 personnes sont concernées par le vol de leurs données.
Dans son Panorama de la cybermenace édition 2023, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) note qu’une attaque par ransomware sur dix en France vise les établissements de santé du secteur public. Autre secteur durement touché, les collectivités territoriales et locales ont représenté respectivement 9 % et 24 % des victimes d’attaque par ransomware.
Risques liés aux tiers et données de santé sensibles
Pour les cybercriminels, les fournisseurs de services sont une autre voie d’accès aux données sensibles, à l’origine d’interruptions majeures des systèmes de santé. Ces prestataires traitent de grandes masses de données de santé pour les hôpitaux, les médecins, les assureurs de soins médicaux et dans le cadre de programmes nationaux de santé. La cyberattaque d’un fournisseur de services informatiques, par exemple, peut être lourde de conséquences. Des événements tels que l’attaque par phishing des opérateurs de tiers payant Viamedis et Almerys et l’attaque de Change Healthcare par ransomware soulignent la nécessité d’un contrôle solide des sous-traitants, qui doivent eux-mêmes mettre en œuvre des mesures de cybersécurité strictes.
En France comme aux États-Unis, ces deux cyberattaques ont sévèrement ébranlé des infrastructures essentielles. Dans ces affaires, plus de la moitié de la population française est concernée par le détournement de ses informations à caractère personnel. Sans compter que ces données enrichissent le stock d’informations sensibles du dark web dans lequel les acteurs malveillants peuvent puiser pour leurs campagnes de phishing. Les attaques lancées sur les deux opérateurs ont également perturbé la transmission et le paiement des demandes de remboursement. Finalement, de nombreux assurés ont donc été privés de services de santé, de médicaments ou de dispositifs médicaux tels que lunettes et prothèses délivrées sur ordonnance.
L’attaque par ransomware sur Change Healthcare, filiale américaine de United Health Group, a désorganisé des milliers de médecins, d’hôpitaux, de pharmacies, de procédures administratives et de facturation dans l’ensemble du secteur de la santé, et perturbé le fonctionnement de services d’une importance vitale. Plus de 100 services ont été paralysés pendant plus de quatre semaines, et des initiatives de remédiation sont toujours en cours.
L’ampleur de la violation de données est toujours à l’étude, mais on parle déjà de 100 millions de dollars par jour de perte pour les prestataires de santé. En outre, des actions de groupe ont déjà été lancées contre l’entreprise, preuve de l’inquiétude qui règne concernant la gravité de ces fuites de données personnelles.
Cet événement souligne le rôle capital de la cybersécurité dans le secteur de la santé, y compris pour les fournisseurs, et l’effet domino de ces attaques sur l’accès aux soins. En outre, il épingle l’urgence de mesures de sécurité renforcées et de stratégies de réponse accélérée pour protéger les données de santé sensibles et préserver l’accès aux soins de santé.