Une entreprise de technologie de santé confirme un accès non autorisé prolongé
CareCloud, une entreprise qui fournit des services de dossiers médicaux électroniques aux prestataires de soins de santé, a commencé à notifier officiellement des centaines de milliers de patients que leurs données médicales ont été volées lors d’une violation survenue plus tôt cette année. Selon l’entreprise, des pirates ont eu accès à l’une de ses banques de données de dossiers médicaux électroniques pendant au moins six jours, entre le 10 et le 16 mars, avant que l’intrusion ne soit détectée et contenue.
Cette notification intervient plusieurs mois après l’incident lui-même, un délai fréquent dans les violations de données de santé car les entreprises ont généralement besoin de temps pour enquêter sur l’étendue de l’accès non autorisé, collaborer avec des enquêteurs informatiques et préparer les notifications légales avant de contacter les personnes concernées. Pour les patients, ce retard signifie que leurs informations de santé personnelles ont pu circuler ou être exposées pendant une période prolongée avant même qu’ils en soient informés.
Une particularité inhabituelle : un pirate qui a partagé des preuves
Ce qui distingue cet incident de nombreuses autres violations dans le secteur de la santé, c’est la manière dont l’attaquant a approché CareCloud. L’entreprise a indiqué qu’un pirate avait revendiqué l’intrusion et, fait notable, avait partagé des échantillons des données volées directement avec l’entreprise, accompagnés d’une demande de rançon destinée à empêcher la publication de ces informations en ligne. Le partage d’échantillons de données comme moyen de pression n’est pas la norme pour les acteurs de la rançon ou de l’extorsion, qui menacent le plus souvent de publier les fichiers sans fournir de preuves au préalable. Ce détail suggère que l’attaquant voulait rapidement établir sa crédibilité, probablement pour pousser CareCloud à payer plutôt que de risquer une longue négociation.
Malgré cela, aucun groupe de rançongiciel ou gang d’extorsion connu n’a revendiqué publiquement cette violation. Ce type d’ambiguïté n’est pas inhabituel dans le paysage actuel des menaces, où des acteurs isolés, de petits groupes ou des affiliés opérant en dehors d’une marque reconnue de rançongiciel mènent de plus en plus d’attaques sans les revendiquer sur les sites de diffusion utilisés par les grandes opérations cybercriminelles. L’absence de revendication nominative ne réduit pas nécessairement la gravité de l’exposition, elle rend simplement l’attribution et la surveillance plus difficiles pour les enquêteurs comme pour les patients touchés.
Cet effort de notification fait suite à une divulgation antérieure cette année, dans laquelle CareCloud avait confirmé que des pirates avaient accédé aux dossiers médicaux de patients liés au même incident de sécurité de plus grande ampleur. L’envoi de notifications à des centaines de milliers de personnes représente la prochaine phase de ce processus de divulgation, alors que l’entreprise détermine précisément quelles données et quelles catégories d’informations ont été exposées.
Pourquoi les violations de données de santé comportent un risque démesuré
Les dossiers médicaux électroniques contiennent généralement un ensemble d’informations hautement sensibles : noms, dates de naissance, numéros de sécurité sociale, informations d’assurance, antécédents de diagnostics et de traitements, et parfois des données de facturation ou financières. Contrairement à un mot de passe compromis, ce type de données ne peut pas simplement être réinitialisé. L’usurpation d’identité médicale, la fraude à l’assurance et les campagnes de hameçonnage ciblées sont autant de conséquences réalistes lorsque ce type d’information tombe entre de mauvaises mains, et leurs effets peuvent se manifester des mois, voire des années après la violation initiale.
Les fournisseurs de technologies de santé comme CareCloud occupent une position particulièrement sensible, car ils traitent et stockent des données pour le compte de multiples organisations de soins. Une seule violation chez un fournisseur peut donc se répercuter sur les patients de nombreuses cliniques et systèmes hospitaliers qui n’ont jamais interagi directement avec l’entreprise compromise. Comme indiqué précédemment, l’ampleur de l’exposition de CareCloud a affecté des millions de dossiers de patients dans l’ensemble de sa clientèle, soulignant à quel point le risque se concentre lorsqu’un volume aussi important de données de santé transite par un petit nombre de prestataires technologiques.
Ce que cela signifie pour vous
Si vous avez reçu, ou recevez plus tard, une lettre de notification de CareCloud, prenez-la au sérieux même si le langage paraît routinier. Lisez attentivement la lettre pour comprendre exactement quelles catégories de vos informations ont été concernées, car toutes les personnes notifiées n’auront pas vu les mêmes données exposées. Si des numéros de sécurité sociale ou des identifiants d’assurance sont inclus, envisagez de placer une alerte à la fraude ou de geler votre crédit auprès des principales agences d’évaluation du crédit. Surveillez attentivement vos relevés d’assurance et vos factures médicales pour repérer des services que vous ne reconnaissez pas, car l’usurpation d’identité médicale peut être plus difficile à détecter qu’une fraude financière classique. Méfiez-vous de tout courriel, appel ou SMS de suivi prétendant provenir de CareCloud ou de votre prestataire de soins et vous demandant de vérifier des renseignements personnels, car les notifications de violation sont fréquemment exploitées par des escrocs menant des campagnes de hameçonnage.
Points clés à retenir
Le processus de notification de CareCloud rappelle que les violations de données de santé se déroulent souvent par étapes, l’intrusion initiale, l’enquête et la notification finale étant séparées par des mois. Les patients concernés par cet incident doivent lire attentivement toute lettre de notification, s’inscrire aux services de surveillance du crédit proposés s’ils sont disponibles et rester vigilants face à des communications suspectes faisant référence à leur historique médical ou à leurs informations d’assurance. Alors que les organisations de santé continuent de recourir à des prestataires technologiques tiers pour gérer des dossiers sensibles, des incidents comme celui-ci montrent pourquoi la vigilance, tant du côté des entreprises que des patients, reste essentielle bien après la détection initiale d’une violation.
