Ce qui s'est passé lors de l'attaque du ransomware DeadLock chez Diater

La violation des dossiers médicaux par le ransomware Diater a mis en péril une décennie de données de santé sensibles après que le groupe de ransomware DeadLock, lié à la Russie, a infiltré les systèmes de la société biopharmaceutique. Diater, qui développe des produits contre les allergies et l'immunothérapie, aurait conservé des antécédents cliniques et des données de pharmacovigilance (dossiers utilisés pour surveiller la sécurité et les effets secondaires des médicaments) pendant environ dix ans. Ces archives sont désormais prises dans ce que les chercheurs en sécurité appellent une attaque par double extorsion, une tactique où les pirates non seulement chiffrent les fichiers de la victime, mais volent également des copies des données au préalable, pour ensuite menacer de les divulguer publiquement à moins qu'une rançon ne soit payée.

Cette approche de double pression est devenue l'une des caractéristiques déterminantes des opérations modernes de ransomware. Même si une entreprise peut restaurer ses systèmes à partir de sauvegardes et éviter de payer pour déverrouiller les fichiers chiffrés, les attaquants conservent un moyen de pression : la menace d'exposer les dossiers volés au public ou de les vendre à d'autres criminels. Pour une entreprise proche du secteur de la santé comme Diater, ce levier est particulièrement puissant, car les données en question comprennent certaines des informations les plus personnelles qu'une personne puisse détenir : ses antécédents médicaux.

Pourquoi les tactiques de double extorsion rendent les données de santé particulièrement vulnérables

Les organisations de santé et pharmaceutiques sont depuis longtemps des cibles attrayantes pour les groupes de ransomware, et les raisons en sont simples. Les dossiers médicaux regorgent de détails personnels précieux et difficiles à modifier : diagnostics, antécédents de traitement, dossiers de médicaments et, dans ce cas, données de pharmacovigilance qui suivent la manière dont les patients ont réagi à des médicaments spécifiques. Contrairement à un numéro de carte de crédit volé, qui peut être annulé et réémis, les antécédents cliniques d'une personne ne peuvent pas être simplement remplacés une fois exposés.

La double extorsion aggrave le risque, car elle supprime le filet de sécurité que les sauvegardes offraient autrefois. Il y a une décennie, une organisation bien préparée pouvait en grande partie neutraliser une attaque par ransomware en restaurant à partir d'une sauvegarde et en refusant de payer. Aujourd'hui, les attaquants comme le groupe derrière DeadLock anticipent cette possibilité et volent d'abord les données, transformant chaque incident de ransomware en une violation potentielle de données, quelle que soit la rapidité avec laquelle les systèmes sont récupérés. Ce changement a fait des attaques par ransomware contre les organisations liées à la santé un problème persistant et en constante évolution, qui continue d'attirer l'attention bien au-delà d'un seul incident.

Ce que signifie l'exposition des antécédents cliniques et des données de pharmacovigilance pour les patients

Pour les patients dont les informations faisaient partie de l'archive de Diater, la préoccupation va au-delà d'une simple gêne quant à la vie privée. Les antécédents cliniques peuvent révéler des maladies chroniques, des allergies, des traitements de santé mentale ou des détails sur la santé reproductive, des informations qui peuvent être utilisées pour du phishing ciblé, de la fraude à l'assurance ou de la discrimination si elles tombent entre de mauvaises mains. Les données de pharmacovigilance, qui suivent les effets indésirables des médicaments, peuvent être tout aussi sensibles car elles lient souvent l'identité d'un patient à des médicaments et à des résultats de santé spécifiques sur une longue période.

Comme ces données ont été conservées pendant environ dix ans, l'étendue de l'exposition ne se limite pas aux patients récents. Des personnes qui ont eu recours aux services de Diater bien avant que la violation ne soit divulguée peuvent encore avoir des dossiers dans l'archive compromise. Cette longue durée de conservation nous rappelle que les données n'ont pas besoin d'être récentes pour être précieuses pour les attaquants, ni nuisibles pour les personnes qu'elles décrivent.

Comment les patients et les prestataires de soins peuvent réduire l'exposition aux violations de données médicales

Bien que les patients ne puissent pas contrôler la manière dont une entreprise comme Diater sécurise son infrastructure, il existe des mesures qui réduisent le risque personnel après toute violation liée aux soins de santé. Méfiez-vous des e-mails ou des appels de phishing qui font référence à des détails médicaux spécifiques, car les données cliniques volées sont souvent utilisées pour rendre les tentatives d'escroquerie plus convaincantes. Envisagez de placer une alerte à la fraude ou un gel de crédit si la notification de violation suggère que des informations pertinentes pour l'usurpation d'identité ont été incluses avec les dossiers médicaux. Et dans la mesure du possible, interrogez les prestataires de soins de santé et les organisations partenaires sur leurs politiques de conservation des données, car une décennie de dossiers stockés représente une décennie de risques accumulés si ces données sont compromises un jour.

Du côté organisationnel, cet incident renforce un schéma plus large que les chercheurs en sécurité suivent : les groupes de ransomware perfectionnent leurs méthodes et élargissent leurs cibles au-delà des institutions financières évidentes. Les régulateurs d'autres régions ont déjà commencé à sonner l'alarme sur la rapidité avec laquelle ces tactiques évoluent. Les autorités de cybersécurité de Taïwan, par exemple, ont récemment émis un avertissement concernant les ransomwares alimentés par l'IA ciblant les secteurs critiques, illustrant que les techniques utilisées contre Diater font partie d'un paysage de menaces bien plus vaste et encore en développement, plutôt que d'un incident isolé.

Ce que cela signifie pour vous

Si vous avez déjà été un patient ou un client lié à un prestataire de soins de santé ou pharmaceutique, des incidents comme la violation des dossiers médicaux par le ransomware Diater sont une occasion utile de revoir votre propre hygiène numérique. Cela signifie vérifier si des notifications de violation vous ont été directement envoyées, surveiller toute activité inhabituelle sur vos comptes et vous montrer sceptique face aux messages non sollicités qui font référence à des détails de santé, même ceux qui semblent légitimes.

Points clés à retenir

  • Les attaques de ransomware par double extorsion volent les données avant de les chiffrer, de sorte que la restauration des systèmes n'élimine pas le risque d'exposition.
  • Les antécédents cliniques et les données de pharmacovigilance sont particulièrement sensibles car ils ne peuvent pas être réémis comme un mot de passe ou un numéro de carte.
  • Les longues périodes de conservation des données, comme la décennie de dossiers de Diater, élargissent le bassin de personnes potentiellement touchées par une seule violation.
  • Les patients doivent se méfier du phishing ciblé et envisager une surveillance du crédit après toute divulgation de violation liée aux soins de santé.
  • Cette attaque s'inscrit dans un schéma plus large de groupes de ransomware qui perfectionnent leurs tactiques dans tous les secteurs et toutes les régions, et pas seulement dans le domaine de la santé.