La fuite de données d'Asahi Kasei Therapeutics est un exemple clair de la façon dont un seul site géré par un prestataire peut exposer tout un annuaire professionnel. Selon les informations de Japan Cyber Watch, des attaquants se sont introduits dans Pharma DIGITAL, un site géré par un prestataire pour le compte d'Asahi Kasei Therapeutics à destination des médecins au Japon. Les données exposées couvrent les noms, les lieux de travail et les spécialités de 514 000 personnes.
Les détails disponibles à ce jour sont limités, et cet article s'en tient à ce qui a été rapporté. Malgré cela, l'ampleur et le type de données concernées suffisent à rendre ce cas digne d'intérêt, en particulier pour toute personne possédant un compte sur un portail professionnel ou pharmaceutique.
Ce qui a été exposé dans la fuite de Pharma DIGITAL
Selon le rapport source, les enregistrements concernés appartiennent à 514 000 professionnels de santé au Japon. Les informations exposées comprennent trois catégories :
- Noms
- Lieux de travail
- Spécialités médicales
Le rapport ne mentionne pas de mots de passe, de données financières ou de dossiers patients en lien avec cet incident, et nous n'avons aucune raison d'affirmer qu'ils ont été impliqués. Cette distinction est importante. Il ne s'agit pas d'une fuite de dossiers médicaux. Il s'agit d'une fuite de l'identité des personnes, de leur lieu de travail et de leur activité.
Cela peut sembler mineur comparé à une fuite de données de paiement. En pratique, une liste vérifiée de professionnels avec leurs employeurs et leurs spécialités est un atout utile pour quiconque envisage de contacter ces personnes sous de faux prétextes.
Comment un portail géré par un prestataire est devenu le point faible
Pharma DIGITAL n'était pas exploité directement par Asahi Kasei Therapeutics. Il s'agissait d'un site géré par un prestataire servant le public de médecins de l'entreprise. C'est un arrangement courant : les laboratoires pharmaceutiques s'appuient souvent sur des fournisseurs externes pour héberger des portails d'information, des systèmes d'inscription et des outils de communication destinés aux professionnels de santé.
La contrepartie est que les données finissent dans un système que l'entreprise ne contrôle pas entièrement au quotidien. La sécurité dépend des correctifs, des contrôles d'accès et de la surveillance du prestataire, et un visiteur ou un inscrit n'a aucun moyen simple de vérifier comment ceux-ci sont gérés. Lorsque des attaquants pénètrent dans un tel site, la marque affichée à l'entrée appartient à une organisation tandis que la défaillance incombe à une autre.
Pour les personnes possédant un compte, la leçon pratique est que le nom de l'entreprise en laquelle vous avez confiance ne représente qu'une partie du tableau. Les données que vous transmettez peuvent être détenues par une chaîne de fournisseurs. La pression plus large de la cybercriminalité sur les organisations japonaises mérite également d'être gardée à l'esprit, et notre couverture du suspect de rançongiciel Qilin arrêté au Japon offre un contexte utile, bien que cette affaire soit distincte et ne soit pas rapportée comme liée à cette fuite.
Pourquoi des coordonnées professionnelles divulguées facilitent l'hameçonnage ciblé
L'hameçonnage générique repose sur le volume et la chance. L'hameçonnage ciblé repose sur la crédibilité. Un message qui s'adresse à un médecin par son nom, mentionne l'hôpital ou la clinique où il travaille et fait référence à sa spécialité paraît bien plus légitime qu'un courriel de masse concernant un compte verrouillé.
Avec les données prétendument exposées ici, un attaquant pourrait élaborer des messages tels que :
- Un faux avis d'une entreprise pharmaceutique concernant un nouveau produit lié à une spécialité spécifique
- Une fausse invitation à un séminaire ou webinaire médical avec un lien de connexion
- Un message usurpant l'identité d'un administrateur d'hôpital ou d'un service informatique
- Une fausse demande de vérification des détails du compte sur un portail que le destinataire utilise déjà
Ce sont des exemples de la façon dont de telles données peuvent être détournées, et non des signalements d'attaques qui se sont produites. Les professionnels de santé sont également occupés et habitués à recevoir des communications du secteur, ce qui rend un message plausible plus facile à traiter sans y regarder à deux fois.
Ce que cela signifie pour vous
Si vous êtes un professionnel de santé au Japon et que vous avez utilisé Pharma DIGITAL, surveillez les avis officiels d'Asahi Kasei Therapeutics ou du prestataire et suivez leurs instructions. Partez du principe que votre nom, votre lieu de travail et votre spécialité peuvent être en circulation.
Si vous ne travaillez pas dans le secteur de la santé, la leçon s'applique quand même. Tout annuaire, portail de newsletter ou site d'inscription géré par un tiers peut détenir un profil de vous qui a de la valeur en soi. Vous n'avez pas besoin de perdre un mot de passe pour qu'une fuite vous affecte.
Comment les professionnels touchés peuvent limiter leur exposition
Vous ne pouvez pas récupérer des données déjà exposées, mais vous pouvez réduire le risque qu'elles soient utilisées contre vous :
- Vérifiez les avis de fuite. Lisez attentivement tout courriel ou courrier de l'entreprise ou du prestataire, et confirmez-le via un canal officiel plutôt qu'un lien contenu dans le message.
- Soyez sceptique face aux messages qui citent votre lieu de travail ou votre spécialité. Les détails personnels ne sont plus une preuve que l'expéditeur est authentique.
- N'utilisez pas les liens ou pièces jointes de messages inattendus. Rendez-vous directement sur le site connu ou appelez un numéro auquel vous faites déjà confiance.
- Utilisez des mots de passe uniques pour chaque portail. Si vous réutilisez un mot de passe d'un site professionnel ailleurs, changez-le et utilisez un gestionnaire de mots de passe.
- Activez l'authentification multifacteur partout où elle est proposée, en particulier pour les courriels et les comptes professionnels.
- Signalez les messages suspects à votre équipe informatique ou de sécurité afin que vos collègues puissent être avertis.
Points clés à retenir
La fuite de données d'Asahi Kasei Therapeutics montre que l'exposition d'une entreprise ne vaut que par la sécurité de ses prestataires, et que les noms, lieux de travail et spécialités peuvent suffire à alimenter des escroqueries convaincantes. Examinez tout avis que vous recevez, traitez avec prudence les messages inattendus qui mentionnent votre métier, et renforcez les bases sur les comptes que vous détenez auprès de portails professionnels. Pour un contexte plus large sur la cybercriminalité visant les organisations japonaises, lisez notre rapport sur l'arrestation liée au rançongiciel Qilin au Japon.
