Ce qui s’est passé à l’hôpital canadien
Une attaque par rançongiciel contre un hôpital au Canada a perturbé bien plus que les ordinateurs administratifs et les dossiers des patients. Selon un rapport de Cybersecurity Insiders, l’attaque a mis hors service les systèmes de contrôle des portes, des ascenseurs, de la ventilation et de la climatisation à l’intérieur de l’établissement, obligeant le personnel à gérer les opérations physiques du bâtiment sans les systèmes automatisés sur lesquels il s’appuie normalement.
Il s’agit d’une divergence notable par rapport aux incidents de rançongiciel qui font habituellement la une des journaux. La plupart des reportages sur les attaques de rançongiciel contre les hôpitaux au Canada et ailleurs se concentrent sur le vol de données de patients, de dossiers de facturation ou d’informations d’assurance. Cet incident est différent, car il montre que les attaquants s’introduisent dans la technologie opérationnelle qui assure le fonctionnement physique d’un hôpital, et pas seulement dans les systèmes informatiques qui stockent ses dossiers.
Bien que les détails concernant le groupe de rançongiciel spécifique à l’origine de cette attaque, le nom de l’hôpital et le montant de la rançon exigée n’aient pas été divulgués dans les premiers rapports, la perturbation elle-même est l’histoire. Lorsque les portes, les ascenseurs et les systèmes de régulation climatique sont hors service dans un hôpital, l’impact passe presque immédiatement d’un problème informatique à un problème de sécurité des patients.
Pourquoi les rançongiciels ciblent désormais les systèmes physiques des hôpitaux, et pas seulement les dossiers
Les hôpitaux sont devenus des cibles de rançongiciel attrayantes pour une raison simple : ils ne peuvent pas se permettre un temps d’arrêt prolongé comme d’autres entreprises. Un détaillant dont les serveurs sont chiffrés peut perdre des ventes pendant quelques jours. Un hôpital avec une ventilation hors service, des portes verrouillées ou des ascenseurs non fonctionnels fait face à des risques immédiats pour les soins aux patients, le contrôle des infections et les interventions d’urgence.
De nombreux hôpitaux utilisent des systèmes de gestion technique des bâtiments, de contrôle du chauffage, de la ventilation et de la climatisation, et de contrôle d’accès sur des réseaux qui sont connectés, directement ou indirectement, à la même infrastructure que celle utilisée pour l’informatique clinique et administrative. Lorsqu’un rançongiciel se propage sur le réseau d’un hôpital, il ne respecte pas toujours la frontière entre « informatique » et « services techniques ». Une seule tête de pont peut finir par affecter simultanément les équipements de surveillance des patients, les serrures de porte et les systèmes de traitement de l’air.
Ce mélange de risques numériques et physiques s’inscrit dans une tendance plus large. Les opérations de rançongiciel se sont transformées en une économie criminelle mature, avec des affiliés dédiés, des négociateurs et une infrastructure conçue spécifiquement pour pousser les victimes à payer rapidement. L’ampleur de cette activité a été documentée dans des recherches récentes montrant que les attaques par rançongiciel ont atteint des niveaux records ces derniers trimestres, soulignant que des incidents comme celui de cet hôpital canadien ne sont pas des événements isolés, mais font partie d’une vague bien plus vaste.
Double et triple extorsion : le modèle économique derrière les attaques contre le secteur de la santé
La logique financière derrière ces attaques a considérablement évolué. Le rançongiciel traditionnel se contentait de chiffrer des fichiers et d’exiger un paiement pour une clé de déchiffrement. Aujourd’hui, de nombreuses opérations utilisent des tactiques de double extorsion : voler des données sensibles avant de chiffrer les systèmes, puis menacer de divulguer ces données publiquement si la rançon n’est pas payée. Certains groupes vont encore plus loin, en recourant à la triple extorsion, qui ajoute une pression sur les clients, les patients ou les partenaires commerciaux de l’organisation victime.
Pour les hôpitaux, cela crée un calcul difficile. Même si les systèmes de sauvegarde permettent à un établissement de restaurer les fichiers chiffrés sans payer, la menace de fuite de données de patients, ou, dans des cas comme celui-ci, la perturbation continue des systèmes physiques du bâtiment, ajoute une pression pour négocier. Les forces de l’ordre de plusieurs pays ont pris des mesures pour perturber les individus et les réseaux à l’origine d’opérations de rançongiciel majeures, notamment par des sanctions contre des opérateurs liés à des infrastructures de rançongiciel bien connues, telles que les sanctions imposées contre l’administrateur de Trickbot connu sous le nom de Stern. Néanmoins, le modèle économique sous-jacent reste suffisamment rentable pour que de nouvelles attaques continuent d’émerger contre les cibles du secteur de la santé.
Ce que les patients et le personnel de santé peuvent faire pour protéger leurs données
Pour les patients, il y a peu de contrôle direct sur la manière dont un hôpital sécurise son réseau, mais il existe tout de même des mesures utiles à prendre. Les patients touchés par un incident cybernétique chez un prestataire de soins doivent surveiller les notifications officielles de violation, vérifier les relevés d’assurance et de facturation pour détecter toute activité suspecte, et se méfier des tentatives d’hameçonnage faisant référence à l’incident. L’ampleur des dégâts possibles lorsque des données de santé sont exposées a été mise en évidence par la violation de données de Change Healthcare affectant plus de 190 millions d’enregistrements, qui a montré comment un seul incident de rançongiciel dans le secteur de la santé peut se répercuter pour toucher des patients bien au-delà de la cible initiale.
Le personnel de santé et les administrateurs informatiques, quant à eux, devraient considérer cet incident comme un rappel de l’importance de segmenter la technologie opérationnelle, comme les systèmes de contrôle d’accès aux bâtiments et de CVC, des réseaux cliniques et administratifs chaque fois que cela est possible. Les sauvegardes régulières, les plans de réponse aux incidents testés et les protocoles de communication clairs pour les opérations du bâtiment en cas d’incident cybernétique ne sont plus des options facultatives. Ce sont des exigences de base pour les établissements où une panne de réseau peut se traduire directement par un danger pour la sécurité.
Ce que cela signifie pour vous
Cette attaque par rançongiciel contre un hôpital canadien est un signal que les menaces de rançongiciel ont dépassé le simple vol de fichiers pour s’étendre aux espaces physiques où les soins sont prodigués. Que vous soyez un patient, un employé d’hôpital ou simplement une personne qui suit l’actualité de la cybersécurité, la leçon est la même : les incidents de rançongiciel dans le secteur de la santé entraînent de plus en plus des conséquences qui vont bien au-delà de la confidentialité des données. Rester attentif aux notifications de violation, comprendre comment ces attaques se déroulent et soutenir des pratiques de sécurité renforcées dans les établissements de santé sont des moyens concrets de répondre à une menace qui ne va pas disparaître de sitôt.
