Ce que la violation de McKesson a exposé et qui est concerné

La violation de données de santé chez McKesson rappelle que les hôpitaux, les pharmacies et les chaînes d'approvisionnement médicales qui les soutiennent ne sont sécurisés que dans la mesure des systèmes tiers dont ils dépendent. En tant que l'un des plus grands distributeurs de fournitures médicales aux États-Unis, McKesson touche une part énorme de la logistique des ordonnances et des soins de santé du pays, ce qui signifie qu'une violation de cette ampleur se répercute sur d'innombrables cliniques et cabinets, y compris ceux de Las Vegas qui dépendent des systèmes de distribution et de données de McKesson pour leurs opérations quotidiennes.

Pour une analyse complète de l'ampleur de cet incident, notamment la manière dont les attaquants connus sous le nom de ShinyHunters auraient obtenu et tentent de vendre les dossiers, notre rapport détaillé sur la violation de McKesson couvre les 284 millions de dossiers de patients liés à cet événement et les détails techniques de son déroulement.

Pourquoi les attaquants préfèrent le vol de données aux rançongiciels

Pendant des années, la menace dominante pour les organisations de santé était le rançongiciel : les attaquants chiffraient les systèmes hospitaliers, empêchaient le personnel d'accéder aux dossiers des patients et aux logiciels de planification, et exigeaient un paiement pour rétablir l'accès. Ce modèle est bruyant par nature. Les systèmes tombent en panne, les alarmes se déclenchent et les équipes informatiques savent presque immédiatement que quelque chose ne va pas.

Ce que le cas McKesson met en lumière, c'est un changement plus discret, sans doute plus dangereux. De nombreux groupes d'extorsion aujourd'hui sautent complètement l'étape du chiffrement. Au lieu de verrouiller les données, ils se contentent de les voler et menacent de les divulguer publiquement si une rançon n'est pas payée. Pas de serveur planté, pas d'écran de connexion gelé, et aucun signal évident qu'il s'est passé quoi que ce soit. Le premier signe de problème est souvent l'apparition de dossiers volés à la vente ou dans une publication de fuite, parfois des semaines ou des mois après l'intrusion réelle.

Cette approche joue en faveur des attaquants pour une raison simple : la menace de divulgation est souvent tout aussi efficace que la menace d'indisponibilité, sans la complexité supplémentaire du déploiement et de la maintenance d'un rançongiciel. Pour les prestataires de soins détenant des informations sensibles sur les patients, cela signifie que les violations peuvent passer inaperçues bien plus longtemps que les incidents de rançongiciels qui ont fait les gros titres ces dernières années.

Comment les dossiers médicaux exposés peuvent être détournés

Les violations de données de santé comportent un type de risque différent de celui d'un numéro de carte bancaire volé. Les dossiers médicaux comprennent souvent une combinaison de détails bien plus difficiles à modifier ou à annuler : noms complets, dates de naissance, numéros de sécurité sociale, identifiants d'assurance et de Medicaid, numéros de téléphone et adresses e-mail. Lorsque ces informations sont volées ensemble, elles donnent aux criminels presque tout ce dont ils ont besoin pour commettre une usurpation d'identité, déposer de fausses demandes d'indemnisation d'assurance ou ouvrir de nouvelles lignes de crédit au nom d'une victime.

Contrairement à un mot de passe compromis, un numéro de sécurité sociale ou une date de naissance n'expire pas et ne peut pas simplement être réinitialisé. C'est en partie ce qui rend les violations de données de santé comme celle-ci si lourdes de conséquences pour les patients, même ceux qui n'ont jamais interagi directement avec McKesson et qui ne sont peut-être concernés que parce que leur prestataire utilisait les systèmes de McKesson quelque part en arrière-plan.

Mesures que les patients peuvent prendre dès maintenant pour protéger leurs données

Bien que les patients ne puissent pas contrôler la manière dont un fournisseur ou un distributeur sécurise ses systèmes, il existe des mesures concrètes qui réduisent les retombées d'une violation comme celle-ci.

  • Surveillez les lettres de notification de violation de la part de votre prestataire de soins ou de votre pharmacie, et lisez-les attentivement pour comprendre exactement quelles informations ont été concernées.
  • Placez une alerte de fraude ou un gel de crédit auprès des principaux bureaux de crédit si des numéros de sécurité sociale ou des données financières ont été exposés.
  • Surveillez les relevés d'assurance et les notifications d'explication des prestations pour repérer des demandes inconnues, ce qui peut être un signe précoce d'usurpation d'identité médicale.
  • Changez les mots de passe de tous les comptes de portails de santé et activez l'authentification multifacteur lorsqu'elle est proposée.
  • Soyez méfiant face aux appels, textos ou e-mails non sollicités faisant référence à la violation, car les attaquants utilisent souvent ces incidents comme appât pour des tentatives d'hameçonnage ultérieures.

Ce que cela signifie pour vous

Si vous avez reçu des soins dans un cabinet de Las Vegas ou chez tout prestataire travaillant avec McKesson, il vaut la peine de traiter cette violation comme un événement de sécurité personnel plutôt que comme un titre de journal corporate lointain. Parce que ces attaques motivées par l'extorsion ne déclenchent pas toujours les signaux d'alerte évidents d'un incident de rançongiciel, la responsabilité incombe souvent aux patients de rester vigilants face aux notifications de violation et d'agir rapidement dès leur réception. L'absence d'une panne système immédiate ne signifie pas que vos données n'ont pas été dérobées ; cela peut simplement signifier que les attaquants décident encore comment les utiliser.

Points clés à retenir

La violation de données de santé chez McKesson illustre une tendance plus large : l'extorsion sans chiffrement devient une tactique privilégiée parce qu'elle est plus discrète et tout aussi rentable. Les patients doivent partir du principe que tout prestataire utilisant de grands fournisseurs tiers pourrait être touché par un incident comme celui-ci, et doivent prendre des mesures proactives — surveillance du crédit, alertes de fraude et examen attentif de l'activité d'assurance — plutôt que d'attendre des signes visibles de problème. Pour un examen plus approfondi de la manière dont ShinyHunters a mené cette attaque spécifique et de l'ampleur totale des 284 millions de dossiers concernés, lisez notre couverture complète de la violation de McKesson et du vol de dossiers par ShinyHunters.