La fuite de 192,7 millions de dossiers de Change Healthcare : ce que cela signifie pour la vie privée des patients

Les chiffres sont difficiles à appréhender. En 2024, une attaque par ransomware contre Change Healthcare, un centre d’échange qui traite les transactions de facturation et d’assurance pour une grande partie du système de santé américain, a entraîné le vol d’informations personnelles et de santé appartenant à 192,7 millions de personnes. Cette seule fuite de données de santé est désormais la plus importante de toute l’histoire documentée, surpassant tous les incidents précédents d’une marge considérable.

Pour mettre cela en perspective, ce chiffre représente plus de la moitié de la population des États-Unis. Il ne provient pas de dizaines d’incidents distincts sur une année. Il résulte d’une seule attaque, contre une seule entreprise, qui se trouvait au cœur d’un réseau interconnecté de prestataires de soins, d’assureurs et de patients.

Comment une seule attaque a touché 192,7 millions de personnes

Le rôle de Change Healthcare dans le système de santé américain en faisait une cible d’une valeur exceptionnelle. En tant que centre d’échange, il traitait les demandes de remboursement et les transactions reliant des milliers d’hôpitaux, de cliniques, de pharmacies et d’assureurs. Lorsque les attaquants ont pénétré son réseau, ils n’ont pas simplement accédé aux données d’une seule organisation. Ils ont accédé à un dépôt central touchant une vaste partie de l’ensemble du secteur de la santé.

La fuite a suivi un schéma courant dans les incidents de ransomware à grande échelle : les attaquants ont obtenu un accès initial, se sont déplacés latéralement dans les systèmes internes, ont identifié et exfiltré des données sensibles, puis ont déployé un ransomware pour perturber les opérations. La seule perturbation opérationnelle a provoqué des problèmes en cascade dans tout le secteur de la santé, des prestataires étant incapables de traiter les demandes de remboursement pendant des semaines. Mais le dommage le plus durable est l’exposition des dossiers médicaux, des informations d’assurance et des identifiants personnels de près de 193 millions de personnes.

Ce type de risque lié aux fournisseurs tiers n’est pas propre à Change Healthcare. La fuite de données de TriZetto, qui a exposé 3,4 millions de dossiers de patients, a suivi un schéma similaire, les attaquants ayant ciblé un intermédiaire technologique de la santé plutôt qu’un hôpital directement. Lorsqu’un seul fournisseur dessert des centaines de clients dans le domaine de la santé, une intrusion réussie peut se répercuter et affecter des millions de personnes qui n’ont jamais interagi directement avec l’entreprise compromise.

Pourquoi le secteur de la santé est une cible persistante

Les organisations de santé sont devenues l’un des secteurs les plus fréquemment touchés par les fuites de données pour plusieurs raisons interconnectées. Les dossiers médicaux contiennent une combinaison particulièrement dense d’informations personnelles, financières et médicales, ce qui les rend plus précieux pour les criminels que les dossiers financiers classiques. Dans le même temps, de nombreuses organisations de santé fonctionnent avec des marges réduites, s’appuient sur des infrastructures héritées et font face à des pressions réglementaires et opérationnelles qui peuvent ralentir les améliorations en matière de sécurité.

L’ampleur de la fuite de Change Healthcare est extrême, mais la fréquence des fuites de données de santé n’est pas inhabituelle. Des incidents touchant de vastes populations de patients ont été régulièrement enregistrés ces dernières années, allant des grands systèmes de santé publique aux petits prestataires spécialisés. La fuite de données de NYC Health and Hospitals, qui a exposé 1,8 million d’empreintes digitales, montre comment même les données biométriques détenues par des institutions publiques peuvent être compromises lorsque le réseau d’un fournisseur tiers n’est pas suffisamment sécurisé.

Le schéma qui se dégage de ces incidents est constant : les attaquants trouvent un point faible, souvent via des identifiants compromis, des systèmes non corrigés ou un accès à distance insuffisamment sécurisé, puis se déplacent à travers des réseaux qui n’ont pas été conçus pour contenir un intrus déterminé.

Ce que cela signifie pour vous

Si vous avez reçu des soins aux États-Unis à un moment quelconque avant ou pendant 2024, il y a de fortes chances que vos informations figurent parmi les dossiers exposés lors de la fuite de Change Healthcare. Les données concernées incluraient des noms, des adresses, des numéros de sécurité sociale, des informations d’assurance et, dans de nombreux cas, des dossiers médicaux détaillés.

Pour les patients, cela signifie que le risque ne se limite pas au vol d’identité. Il comprend la possibilité de fraude à l’assurance, d’attaques de phishing ciblées utilisant des détails de santé personnels, et l’exposition à long terme d’antécédents médicaux sensibles. Les informations de santé, contrairement à un numéro de carte de crédit, ne peuvent pas être modifiées.

Pour les professionnels de santé et les administrateurs, cette fuite est un rappel clair que la sécurité des données des patients ne dépend pas seulement des défenses de leur propre organisation, mais aussi de chaque fournisseur et partenaire connecté à leurs systèmes. Les fuites liées à des fournisseurs tiers continuent de représenter une part importante des incidents dans le secteur de la santé, et l’affaire Change Healthcare soulève des questions urgentes sur la rigueur avec laquelle ces relations sont évaluées et surveillées.

Pour les organisations de santé en particulier, la fuite met en évidence plusieurs domaines concrets qui méritent d’être examinés :

  • Contrôles d’accès des tiers : Les fournisseurs ayant accès aux systèmes internes devraient être soumis au même niveau d’examen que les utilisateurs internes, avec des politiques strictes en matière d’identifiants et une segmentation du réseau qui limite la portée de chaque point d’accès.
  • Sécurité de l’accès à distance : Les VPN avec authentification multifactorielle obligatoire constituent une protection de base pour l’accès à distance aux systèmes internes. La fuite de Change Healthcare montre que des identifiants compromis peuvent servir de point d’entrée, mais un VPN seul n’est pas une défense complète. Il doit être associé à une segmentation, une surveillance et des capacités de réponse.
  • Minimisation des données : Les organisations devraient auditer les données qu’elles partagent avec des fournisseurs tiers, en ne conservant et en ne transmettant que ce qui est strictement nécessaire sur le plan opérationnel.

Il est important d’être clair sur ce que les outils de sécurité tels que les VPN peuvent et ne peuvent pas faire. Les VPN protègent le canal par lequel transitent les données, en particulier pour les travailleurs à distance accédant aux systèmes cliniques ou pour les communications de télésanté qui doivent rester confidentielles. Ils constituent une couche de protection significative pour les professionnels de santé travaillant en dehors d’un réseau clinique. Mais la fuite de Change Healthcare n’était pas principalement due à une défaillance de la sécurité de l’accès à distance. Elle impliquait des problèmes systémiques plus profonds liés à l’architecture du réseau et aux déplacements latéraux, des problèmes qui exigent des défenses en couches bien au-delà d’un seul outil.

Mesures concrètes à prendre

Si vous pensez que vos données ont pu être affectées par la fuite de Change Healthcare ou par un incident similaire, voici des mesures concrètes à prendre. Surveillez vos relevés d’assurance maladie pour détecter des demandes de remboursement que vous ne reconnaissez pas. Placez une alerte à la fraude ou un gel de crédit auprès des principales agences d’évaluation du crédit. Soyez attentif aux tentatives de phishing qui utilisent des détails de santé personnels pour paraître légitimes.

Pour les professionnels de santé et les administrateurs, la leçon de cette fuite record de 2024 est que les relations avec les fournisseurs sont des relations de sécurité. Chaque connexion d’un tiers à un réseau clinique est un point d’entrée potentiel qui mérite une évaluation rigoureuse et continue. L’ampleur de ce qui s’est passé chez Change Healthcare ne reflète pas seulement les vulnérabilités d’une entreprise, mais aussi les risques liés à la construction d’un secteur sur une infrastructure étroitement interconnectée et insuffisamment renforcée. Pour faire face à ces risques, il faut investir dans la sécurité à chaque maillon de la chaîne, et pas seulement au niveau des plus visibles.