L’appel renouvelé du FBI pour le partage de renseignements sur les menaces
Le FBI demande aux organisations de santé de faire quelque chose que beaucoup d’entre elles ont historiquement évité : parler ouvertement des cyberattaques qu’elles ont subies. Selon les informations rapportées, le bureau les presse de partager ce qu’elles savent des menaces rencontrées, alors que les attaques par ransomware contre le secteur se poursuivent à un rythme soutenu. Le message est simple. Quand un hôpital ou une clinique est visé par un gang de ransomware, les tactiques, les outils et les indicateurs de compromission utilisés lors de cette attaque pourraient aider d’autres organisations à se défendre, mais seulement si ces informations sont effectivement transmises.
Ce n’est pas une idée neuve dans les milieux de la cybersécurité. Les forces de l’ordre soutiennent depuis longtemps que le partage de renseignements sur les menaces agit comme un système d’alerte précoce pour tout un secteur. Si un hôpital dans un État identifie une campagne d’hameçonnage ou un ransomware spécifique, et que cette information parvient au FBI et est diffusée aux autres prestataires de soins, cela peut réduire la fenêtre dont disposent les attaquants pour exploiter la même tactique ailleurs. L’insistance renouvelée du FBI sur ce point suggère que, malgré des années d’avertissements, l’information ne circule toujours pas aussi librement que les enquêteurs le souhaiteraient.
Pourquoi les organisations de santé restent silencieuses
Il convient de se demander, sur le plan éditorial, pourquoi les organisations de santé hésiteraient en premier lieu à partager les détails d’une attaque. Il existe des raisons pratiques qui vont au-delà d’une simple réticence. Signaler une attaque peut attirer l’attention des régulateurs, soulever des questions de la part des patients et des partenaires, et ouvrir la voie à des contentieux. Les équipes informatiques et juridiques des hôpitaux avancent souvent avec prudence, mettant en balance les obligations de divulgation et le risque pour la réputation. Dans un secteur déjà à court de personnel et de budget en matière de cybersécurité, prendre le temps supplémentaire de compiler et de partager les détails des menaces avec les forces de l’ordre ou les pairs du secteur peut tout simplement passer au second plan, en particulier dans le chaos immédiat de la réponse à une brèche en cours.
Rien de tout cela ne signifie que les organisations de santé agissent de mauvaise foi. Cela montre que les incitations autour de la divulgation sont complexes, et l’appel du FBI est essentiellement une tentative de modifier ce calcul en faisant valoir que le partage de renseignements profite à tous, y compris à l’organisation qui partage. Cette dynamique n’est pas propre aux hôpitaux. Les opérateurs d’infrastructures critiques sont confrontés à une tension similaire, comme on l’a vu lorsque la CISA a averti d’une recrudescence des attaques contre les automates programmables des services d’eau, un autre secteur où le partage rapide d’informations entre opérateurs et agences fédérales est considéré comme une défense de première ligne plutôt qu’une réflexion après coup.
Le coût du silence pour les patients et les consommateurs
Lorsque les organisations de santé restent silencieuses sur les cybermenaces auxquelles elles font face, ce sont les patients qui supportent en définitive le risque. Les dossiers médicaux contiennent certaines des données personnelles les plus sensibles qui existent, depuis les diagnostics et les antécédents de traitement jusqu’aux informations d’assurance et de facturation. Une notification de violation retardée, ou un manque de renseignements partagés qui aurait pu empêcher une deuxième attaque, se traduit directement par davantage de dossiers exposés et par plus de personnes laissées dans l’ignorance au sujet de leurs propres données.
Ce schéma de divulgation lente ou incomplète ne se limite pas au secteur de la santé. Il apparaît chaque fois que des organisations pèsent la transparence face à des préoccupations de réputation à court terme, comme on l’a vu dans des cas tels que la violation revendiquée par le groupe Handala visant des agences gouvernementales des Émirats arabes unis, où l’ampleur d’une fuite est rendue publique par les déclarations de l’attaquant lui-même plutôt que par une divulgation proactive. Par ailleurs, une enquête de Proofpoint a révélé que les organisations qui paient les demandes de rançon sont fréquemment ciblées à nouveau, ce qui rappelle qu’une gestion silencieuse et réactive des incidents de ransomware résout rarement la vulnérabilité sous-jacente, que la rançon soit payée ou non.
Ce que cela signifie pour vous
Si vous êtes patient d’un prestataire de soins, vous avez probablement une visibilité limitée sur la manière dont cette organisation partage les renseignements sur les menaces ou gère les incidents de ransomware en interne. Mais il existe néanmoins des mesures sur lesquelles vous avez prise. Interrogez vos prestataires de soins sur leurs politiques de sécurité des données et de notification des violations. Soyez attentif aux lettres de notification de violation lorsque vous les recevez, et agissez rapidement plutôt que de les mettre de côté. Pensez à utiliser des mots de passe forts et uniques pour les portails patients, et à activer l’authentification multifacteur partout où elle est proposée. Le chiffrement des données, tant en transit qu’au repos, ainsi que des outils d’accès à distance sécurisés comme les VPN pour le personnel de santé travaillant en dehors des périmètres réseau traditionnels, contribuent à réduire la surface d’attaque que les groupes de ransomware exploitent en premier lieu.
Mesures concrètes à retenir
L’appel du FBI invitant les organisations de santé à partager les renseignements sur les cybermenaces met en lumière une lacune structurelle qui touche toutes les personnes liées au système de santé, et pas seulement les services informatiques. Alors que les attaques par ransomware continuent de cibler les hôpitaux et les cliniques, une communication plus rapide et plus ouverte sur les menaces pourrait se traduire par moins d’attaques réussies à l’avenir. En attendant, les patients peuvent se protéger en surveillant de près les notifications de violation, en utilisant une authentification forte sur tout portail médical et en posant directement des questions à leurs prestataires sur leurs pratiques de cybersécurité. Le partage de renseignements sur les menaces est peut-être une discussion stratégique qui se tient au niveau institutionnel, mais ses conséquences concrètes reposent directement sur les personnes dont les données sont en jeu.
