Abbott face à deux enquêtes de cybersécurité distinctes
Abbott Laboratories a confirmé enquêter sur deux incidents de cybersécurité distincts, ajoutant une nouvelle incertitude pour une entreprise qui subit déjà les conséquences d’activités de piratage liées à l’extorsion cette année. Le géant de la santé et du diagnostic a déclaré avoir découvert un accès non autorisé à d’anciens systèmes internes appartenant à Exact Sciences, l’entreprise de diagnostic du cancer qu’il possède, au sein de sa division Cancer Diagnostics. Parallèlement, Abbott examine une allégation selon laquelle des attaquants auraient compromis son portail LabCentral et emporté des données de l’entreprise.
Les deux incidents sont traités comme indépendants, d’après les informations limitées disponibles à ce jour, bien que tous deux pointent vers une même réalité : les grandes organisations de santé dotées de réseaux étendus de systèmes hérités, de filiales acquises et de portails exposés sur Internet présentent une surface d’attaque étendue, difficile à sécuriser complètement.
Le lien avec Exact Sciences
La confirmation par Abbott d’un accès non autorisé aux anciens systèmes d’Exact Sciences ne survient pas dans le vide. Des articles antérieurs ont révélé que le groupe d’extorsion ShinyHunters avait revendiqué avoir compromis Exact Sciences, l’entreprise de diagnostic détenue par Abbott, surtout connue pour le test de dépistage du cancer du côlon Cologuard. Cette revendication a suscité des inquiétudes quant à l’exposition de données de santé sensibles liées à des patients dépistés pour un cancer, une catégorie d’informations qui présente un risque important pour la vie privée si elle tombe entre de mauvaises mains.
Abbott a également dû faire face à une vague d’attaques plus large liée au même acteur malveillant. Un article expliquant comment ShinyHunters ont piraté Abbott et la NAIC via une faille Oracle décrivait des perturbations en lien avec les activités de recherche sur les médicaments anticancéreux. Pris ensemble, ces incidents suggèrent que les divisions Cancer Diagnostics et Recherche d’Abbott ont été des cibles récurrentes, que ce soit via une infrastructure héritée, des vulnérabilités de logiciels tiers ou des systèmes d’entreprises acquises qui n’étaient pas pleinement intégrés aux contrôles de sécurité d’Abbott.
La revendication d’extorsion LabCentral ajoute un nouveau front
Le deuxième incident faisant l’objet d’une enquête concerne une allégation selon laquelle des attaquants ont accédé au portail LabCentral d’Abbott et dérobé des données de l’entreprise, les auteurs ayant eu recours à des tactiques d’extorsion – un schéma répandu parmi les groupes qui volent d’abord les données puis font pression sur leurs victimes pour obtenir un paiement, plutôt que de déployer immédiatement un rançongiciel. Abbott n’a pas détaillé l’étendue des données potentiellement exposées via LabCentral, et l’enquête est en cours.
Ce qui rend cette deuxième revendication notable, c’est qu’elle semble distincte de l’accès à Exact Sciences, ce qui signifie qu’Abbott pourrait être confronté à une exposition provenant de deux points d’entrée différents plutôt que d’un seul système compromis. Pour une entreprise active dans les secteurs pharmaceutique, du diagnostic et des dispositifs médicaux, ce type d’exposition parallèle souligne à quel point il est difficile de tracer un périmètre de sécurité unique autour d’une grande organisation décentralisée, construite en partie par acquisitions.
Ce que cela signifie pour vous
Si vous êtes un patient ayant utilisé Cologuard, interagi avec Exact Sciences ou dont les résultats de laboratoire ont été traités via des systèmes affiliés à Abbott, ces incidents méritent votre attention, même avant que tous les détails ne soient connus. Les données de diagnostic de santé sont particulièrement sensibles car elles peuvent révéler des antécédents médicaux, des résultats de dépistage et des identifiants personnels précieux pour l’usurpation d’identité ou l’hameçonnage ciblé.
Pour les professionnels de santé, les laboratoires partenaires ou les fournisseurs qui utilisent LabCentral ou des portails similaires, c’est un rappel que les groupes d’extorsion ciblent de plus en plus les logiciels et les points d’accès qui relient les organisations, plutôt que seulement le réseau informatique central. Les systèmes hérités hérités de fusions et acquisitions, comme l’infrastructure Exact Sciences absorbée par Abbott, accusent souvent un retard en matière de correctifs et de surveillance, ce qui en fait des points d’entrée attractifs pour les attaquants.
Mesures concrètes à prendre
Alors que les enquêtes d’Abbott se poursuivent, les individus et les organisations liés à l’entreprise peuvent adopter dès maintenant des gestes pratiques. Les patients et les clients doivent guetter les notifications officielles de violation de la part d’Abbott ou d’Exact Sciences plutôt que de se fier à des allégations non vérifiées circulant en ligne, et doivent se méfier des courriels ou appels non sollicités évoquant des résultats de laboratoire ou des détails de compte. Activer une surveillance du crédit ou des alertes de fraude est une précaution raisonnable si vous avez reçu des soins par l’intermédiaire des services de diagnostic affiliés à Abbott.
Pour les organisations, cet incident est une étude de cas illustrant pourquoi les systèmes hérités issus d’acquisitions doivent faire l’objet d’une revue de sécurité active plutôt que d’être laissés en fonctionnement avec d’anciennes configurations. Auditer régulièrement les portails tiers comme LabCentral, imposer l’authentification multifacteur et segmenter l’infrastructure héritée du réseau central peuvent réduire le risque qu’un seul système compromis devienne une tête de pont pour une violation plus large.
À mesure que de nouveaux détails émergeront sur l’ampleur des deux cyber-incidents d’Abbott, les lecteurs doivent s’attendre à des mises à jour concernant les éventuelles données consultées et les mesures correctives prises par l’entreprise. D’ici là, la situation de violation de données chez Abbott nous rappelle que même les grandes entreprises de santé bien dotées en ressources restent vulnérables lorsque les systèmes hérités et les portails externes ne sont pas traités avec la même rigueur que l’infrastructure centrale.
